 ❀ 02. 在PPPoE虚拟接口配置IPv6（下）❀ FortiGate 防火墙)
【简介】上一篇文章中我们使防火墙的宽带接口、内网接口以及内网接口下的电脑网卡都获得了IPv6地址那么要用起来的话还要做一些配置。配置IPv6上网策略我们已经配置过了IPv4的上网策略那么IPv6的上网策略有什么不同呢① 选择菜单【策略对象】-【防火墙策略】然后点击【新建】。② 第一步输入自定义的策略名称第二步选择流入接口为【internal】第三步选择流出接口为PPPoE虚拟接口【CMCC-500M】。前面这三步和配置IPv4上网策略时完全相同不同的在第四步选择源时会出现两个ALL地址对象前面有4字图案的表示IPv4的这里选择前面有6字的ALL地址对象不要选错了。③ 第五步目标地址也是选择前面有6字的ALL地址对象。第六步选择服务这里只有一个ALL很好选择不用考虑。④ 第七步关闭NAT这里和IPv4的上网策略不同在IPv6下直接访问不需要做地址转换。⑤ 第八、九、十步是启用安全防御和IPv4下一样通常上网只要启用反病毒和入侵防御就可以了点击【OK】。IPv6上网策略就创建好了。⑥ 回到策略界面可以看到已经有两条上网策略分别是IPv4和IPv6它们的区别也很明显源和目标地址对象不同NAT不同。⑦ 从电脑上分别执行ping baidu.com和ping6 ipv6.baidu.com都能获得IP地址并Ping通说明IPv4和IPv6上网正常。⑧ 也可通过test-ipv6.com网站的检测。配置IPv6 DDNS宽带接口的IPv6地址可以满足我们远程访问的需求但同IPv4一样地址会经常变动那就要用到FortiGate防火墙非常好用的DDNS功能了。① 选择菜单【网络】-【DNS】在动态DNS栏点击【新建】。② 选择接口注意这里一定是宽带接口由于宽带是PPPoE虚拟接口因此选择CMCC-500M不要选择wan1口。③ 由于是PPPoE拨号宽带得到的是内网地址是无法远程的所以第二步要启用【使用公网IP地址】。④ 第三步是选择DDNS服务器这里有三个选择随意选择一个好记的就可以了有人问能不能自定义服务器域名不好记这里肯定的答复你不行。⑤ 第四步设置独特的位置实际就是设置一个域名好记不重复就可以。点击【OK】返回上一界面。⑥ 动态DNS就创建好了点击【应用】生效。⑦ 从电脑上ping oldmei.fortiddns.com虽然得到了宽带的公网IP但由于防火墙接口上得到是内网IP地址因此仍然是无法访问。⑧ 在命令窗口查看ddns的配置可以看到红色框内就是刚才四个步骤后生成的配置。但这还不够。⑨ 输入上述命令加入二行设置第一行set server-type ipv6设置DDNS服务类型为ipv6第二行set update-interval 300设置5分钟更新一次以防止防火墙上IP地址变更后DDNS服务器没有及时更新造成域名访问失败。⑩ DDNS服务器完整的命令是这样的。⑪ 选择菜单【网络】-【DNS】可以看到DDNS服务器那里显示了IPv6地址。IPv6 DDNS验证下面我们验证DDNS域名是否可以得到IPv6地址。① 在电脑上执行命令 ping6 oldmei.fortiddns.com可以得到IPv6地址并且可以Ping通。② 从公网用域名可以直接远程访问防火墙注意这里并没有加端口号也就是说443端口是开放的而IPv4下运营商通常都会关闭443端口。③ 选择菜单【系统管理】-【设置】选择【访问】栏将HTTPS端口由默认的443改为8443点击【确认】。④ 再次用域名访问时也要加上端口号【注意】远程访问的电脑也需要有IPv6地址才能访问。停止使用IPv6IPv6虽然是大势所趋但目前应用仍不是很广泛有些软件或网站有打不开、运行十分缓慢的情况所以就有临时关闭IPv6的需求。① 防火墙上很简单只要编辑PPPoE虚拟接口关闭启用的【IPv6】选项就可以了。以后要用再打开。② 电脑同时有 IPv4IPv6 双栈时系统会优先尝试 IPv6 AAAA 记录解析访问网站1、先发 IPv6 DNS 请求拿 AAAA 记录2、尝试 IPv6 TCP 连接3、IPv6 超时 / 不通后才降级切 IPv4超时等待就是你感觉 “网站很难打开” 的根源。MacOS 下可以执行命令sudo networksetup -setvoff Ethernet关闭网卡的IPv6可以执行命令networkset -getinfo Ethernet | grep IPv6查看网卡的IPv6状态。同样的命令把 “Ethernet” 更换成 “Wi- Fi”就可以关闭WiFi的IPv6了。③ 再次启用也很简单在网卡的TCP/IP选项里配置IPv6选择【自动】就可以了。
