OpenBSD で MAP-E (IPv4 over IPv6) を動作させる

MAP CE として必要な機能は次の3つである。

1. IPv4 over IPv6 トンネル
2. IPv4 NAT
3. NAT で使用する port 番号制限

OpenBSD は 1. は gif(4), 2. は pf.conf(5) で nat-to で実現できる。3. で使用できるポート番号を制限しつつ、使用可能なポート番号を全て使えるように設定するのが難しい。

例えば pf.conf で port 2000:2004 のように一つの区間ならば指定できる。しかし、一般に MAP-E で使用されるポート番号は複数の区間となる。実際、私の環境では63個の区間となった（各区間は16個のポート番号で構成されている）。

この方法を使う場合63個の区間から一つ選び、それをNATで使用することになる。ポート番号が16個しかないのでNATセッションが多い状況では使用できるポート番号が枯渇する恐れがある。

使用可能なポート数を増やすために、送信元ポート番号などに基づき63個のNATルールを作成し、それぞれ使用可能なポート区間を指定することも考えられる。しかしながら、各ルールが使用可能なポート番号は16個のままなのでマッチルールやクライアントのリクエストによっては、やはり、ポート番号が枯渇する恐れがある。

ラウンドロビンでマッチするアクションを選ぶようなランダムにルールを選択仕組みがあればある程度は緩和可能かもしれないが、現状、そのような仕組みは pf にはない。

（ただ、うまくマッチルールを作成すれば、例えば、送信元ポート番号の下位6ビットとポート区間を紐付けるなどでランダムに近い挙動でポート区間を選べれば、この方法で問題ないかもしれない）

追記 [2022-08-21 Sun]

ランダムでルールを適用する probability オプションが存在することに気がついた。このオプションを使いうまく確率を設定すれば、複数のルールからいずれかを適用する、という動作が可能である。一部制限はあるが PF ルールで MAP-E 動作が実現できる。

追記おわり

Kernel にパッチをあてビルド、インストールすることで MAP-E 動作が可能となる。

1
2
3
4

  tunnel 2001:0db8:dead::1 2001:0db8:beef::1
  inet 192.0.2.1 255.255.255.255
  mtu 1460
  !route add -inet default 192.0.2.1

1
2

  match on gif0 inet all scrub (no-df random-id max-mss 1420)
  pass out on gif0 inet nat-to (gif0) map-e-portset 4/6/20

• FreeBSD で MAP-E を有効にするパッチ を参考にした

• NAT処理を行なう pf と pf の設定を読む pfctl に変更を加えた

  • pf 関連のファイルはディレクトリ sys/net/ の中の pf がプレフィックスになっているもの
  • pfctl 関連のファイルはディレクトリ sbin/pfctl, share/man/man5/pf.conf, regress/sbin/pfctl に配置されている

• NATで使用されるポート番号は sys/net/pf_lb.c の関数 pf_set_sport で決定される

  • この関数は nat-to と af-to のルール処理時に呼び出される
  • オリジナルの pf_set_sport はポート番号の下限 low と上限 high を定めて、そこからランダムに未使用のポート番号を選択する

  • 新しい関数 pf_set_sport_range と pf_set_sport_mape を加えた

    • 関数 pf_set_sport_range はオリジナルの pf_set_sport と同様に下限と上限からランダムに未使用ポートを選択する

    • 関数 pf_set_sport_mape は MAP-E の port-set 設定に従い未使用ポートを選択する

      • ランダムに a bits を選択し、 pf_set_sport_range を呼びだすことを繰り返す
    • 関数 pf_set_sport 設定に応じて pf_set_sport_range もしくは pf_set_sport_mape を実行する
  • MAP-E port-set のルールは pfvar.h に struct pf_mape_port として新しく定義し struct pool のメンバ変数として追加した

• pfctl による設定ファイル pf.conf の読み取り、出力は sbin/pfctl/parse.y, sbin/pfctl/pfctl_parser.c で決定される

  • parse.y は yacc で記述されている

    • まず %{ と %} の間に C の struct の定義、関数宣言
    • 次に %token, %type が定義され %% で終端
    • そして 文法 が定義され %% で終端
    • 最後に C の関数が定義
  • トークンとして map-e-portset を追加して値を struct pf_mape_port に保存
  • pfctl_parser.c で map-e-portset 情報を出力するように変更

  • regress/sbin/pfctl には成功すると失敗する pf.conf のルールを出力とともに置く

    • 例えば pf1.in と pf1.ok や pfail2.in と pfail2.ok