2012年9月27日 星期四

2012-09-27 21:30 IPv6賢者之路半弔子之章

完整的Hurricane Electric(HE) IPv6 Sage(賢者)資格取得流程、請見alextwl先生網誌「IPv6 賢者之路 – Hurricane Electric Free IPv6 Certification」完整介紹。以下僅針對本人此次由Windows環境取得Sage資格以及每日積分略作分享。

根據IPv6賢者之路的解說,在網路環境正確設定為IPv6連線後、接著便是申請具有IPv6 Glue Record的域名與註冊單位。此次本人所使用的為 Dot TK 申請的.tk域名、他們DNS同時也具備IPv6 Glue Record。tk為紐西蘭拖克勞群島國際域名、可能因欠缺經濟利益因此目前開放免費申請,但也可能因而使得太多人申請.tk、而遭 HE.net DNS代管服務以網域遭濫用拒絕。

因此若本身無架設DNS而需代管(Dot TK 的DNS代管僅提供設置A/CNAME/MX紀錄、不含IPv6 AAAA紀錄。IPv6 PTR反查紀錄由IP配發單位、也就是 HE.net的DNS管理介面 設定)。請在申請.tk域名前、先至 ClouDNS.net 申請DNS代管服務。或者請參考此篇,申請.tk域名後、先將欲由 HE.net DNS 代管的.tk域名登記於 topDN.net 、再藉由備援DNS/AXFR將域名轉回 HE.net DNS 代管。

若是於 ClouDNS.net 申請DNS代管服務,請在完成.tk域名申請的同時、設置為Custom DNS並將自有DNS指向ns1.cloudns.net ~ ns4.cloudns.net(請最少指定兩組)。

之後回到 ClouDNS.net 、進入Dashboard後DNS zones新增所申請到的.tk網域、以及測試所需的AAAA與MX紀錄。設置完成後、最重要的一步請進入IP配發單位 HE.net DNS 設置網域以及前組SMTP server的PTRv6反解紀錄。

接著是主機架設的工作。由於IPv6賢者認證其中一步、會根據認證者提供的網址AAAA紀錄以IPv6連線取得測試文件,因此需要架設HTTP server。若僅認證之用、推薦Abyss Web Server X1。至於SMTP server的部分、由於不會強制檢查提供收取認證訊息的Email地址是否符合MX紀錄、可以提供支援IPv6的信箱如Gmail收取測試郵件、而省去架設SMTP server的步驟(這很明顯是作弊啊......)

若在Windows 7架設HTTP server、請注意World Wide Web Publishing Service(W3SVC)服務是否存在。若存在請暫時停用、否則運作的W3SVC將會佔用架設認證所需的HTTP server Port80、導致HE的無法擷取測試文件而導致測試失敗(HE的測試連結不接受Port指定)。待完成HTTP server AAAA紀錄測試、停止測試用HTTP server再重新啟用W3SVC。

每日測試積分5點部分,IPv6 Traceroute / DIG PTR (-x method)/ Ping可至 http://www.traceroute6.net 分別以Trace6 / Dig Reverse / Ping6 查詢獲得所需報告;IPv6 DIG AAAA可至 http://www.kloth.net/services/dig.php 查詢;最後的IPv6 Whois可至 http://ipduh.com/ipv6/whois/ 查詢。

IPv6 Certification Badge for lordvader

2012年9月26日 星期三

2012-09-26 21:00 在防火牆阻擋ICMP情況下、如何正確運作HE IPv6 tunnel broker服務

關於Hurricane Electric(HE) IPv6 tunnel broker服務的設定請見網路相關文章。

本文的重點在於WAN端非固定IP位址、且防火牆設置阻擋ICMP時、一旦WAN端IP位址改變更新IPv6 Tunnel Endpoint紀錄後、如何正確回應HE IPv6 tunnel broker服務的用戶查詢,而不須為此關閉防火牆阻擋ICMP設置。

HE進行用戶查詢的主機為 arc.he.net(66.220.2.74) 而非Tunnel Remote Endpoint主機,因此預設的規則無效。

以Tomato為例、可在Administration內的Scripts -> Firewall分頁建立以下iptables規則於開機時執行、接受並回應來自 arc.he.net 的ICMP echo

iptables -I INPUT -s arc.he.net -p icmp -m icmp --icmp-type 8 -j ACCEPT

若不願重啟Tomato使規則生效、也可至ToolsExecute System Commands或以Telnet方式執行,並透過以下指令重啟iptables服務使設定生效

service iptables restart

順道一提、Tomato在設置HTTPS存取後、若以IE連線後卻顯示「無法顯示網頁」,可至IE的「網際網路選項」、「進階」分頁、「安全性」項目,取消勾選使用SSL 2.0」,便能以IE通過HTTPS進入Tomato。

關於使用SSL 2.0的設置、Firefox與Chrome早已不提供支援、IE基於相容性予以保留。但SSL 2.0因存在漏洞早已於1997由SSL 3.0取代,近年應當不可能有網站仍使用SSL 2.0,可放心關閉。