OCNバーチャルコネクト環境でIPoE・PPPoE併用のIPv4、IPv6デュアルスタックでサーバーを公開する

投稿日：: 2025/08/22

ネットワーク::IPv6ネットワーク::IPv4その他::OCNバーチャルコネクトソフトウェア::OpenWrtジャンル::自宅サーバー

OCNバーチャルコネクト環境でIPv6サーバーを公開した時にやったことを派生させて更にIPv4にも対応させるプラン。

OCNバーチャルコネクトのIPoEでIPv4 over IPv6のMAP-E環境だと、IPv4ではWell-known portsが開けないが、PPPoEを使って取得したIPv4であれば開けるので、これとIPoE側のIPv6の併用でデュアルスタックでWell-known portsの開放を行い、サーバーを運用できるようにするのが目的だ。

確認環境

環境	内容
ISP	OCN光
ISP契約	OCN 光 with フレッツマンション・スーパーハイスピード隼・プラン1・西日本
ISP接続方式	OCNバーチャルコネクト(IPoE, MAP-E)
RouterOS	OpenWrt 24.10.0
ServerOS	Ubuntu 24.04.3 LTS
HTTPD	nginx 1.26.1
ドメインレジストラ	Value Domain

今回の要件

OCNバーチャルコネクト環境でIPv6サーバーを公開した時にやったことに追加でIPv4も開通させる
IPv4はPPPoEで取得できるものを使う
サーバーマシン以外の端末に影響を与えない

やり方

サーバー側の準備

ufwではv4にも穴が開いている状態とする

nginxの設定を開きIPv4向けにlisten 443 ssl;を追記して保存する
nginxを再起動する

PPPoEインターフェースの作成

SSHでOpenWrtに入る

/etc/iproute2/rt_tablesを開き次のようにpppoeの行を追加、保存

#
# reserved values
#
128     prelocal
255     local
254     main
253     default
300     pppoe
0       unspec
#
# local
#
#1      inr.ruhep

ルーターを再起動
- reboot
LuCIに入る
Network→Interfacesを開く
Add new interfaceから、Nameをwanppp、ProtocolをPPPoEとしたインターフェースを作成する
General SettingsタブのDeviceにONUと疎通しているポートを指定し、PAP/CHAP usernameとPAP/CHAP passwordにISPの接続情報を入れる
Advanced Settingsタブを開き、Use gateway metricを10、Override IPv4 routing tableをpppoe (300)にする
Saveボタンを押して保存する
wanインターフェースのEditを押す
Advanced Settingsタブを開き、Use gateway metricを1にする
Saveボタンを押して保存する

ファイアーウォールの作成

引き続きLuCI上で作業する
Network→Firewallを開く
ZonesのAddボタンを押す
Nameをwan_pppoeにし、MasqueradingとMSS clampingにチェックを入れ、Covered networksでwanpppを選択し保存する
lan⇒wanのゾーン設定のEditボタンを押す
Allow forward to destination zones:にwan_pppoeを追加し、保存する
Network→Interfacesを開く
wanpppインターフェースのEditボタンを押す
Firewall Settingsタブを開き、Create / Assign firewall-zoneにwan_pppoeが設定されていることを確認する。設定されていなかったら設定する

サーバーだけをPPPoEのIPv4通信の対象にする

引き続きLuCI上で作業する
Network→Routingを開き、IPv4 Rulesタブを開く
General SettingsタブのIncoming interfaceをlanに、SourceをサーバーのIPにする
Advanced Settingsタブを開く
Tableにpppoe (300)を設定し、保存する

NATを設定する

引き続きLuCI上で作業する
Network→Firewallを開き、Port Forwardsタブを開く
Addボタンを押す
Nameに適当な名前を付け、Restrict to address familyをIPv4 only、Source zoneをwan_pppoe、External portを443、Internal IP addressを転送先のサーバーIP、Internal portを443にして、保存する

疎通確認

Network→Interfacesを開き、wanpppのIPv4を拾う
ドメインレジストラの設定でAレコードにこれを登録
適当な外部サーバーからcurlを投げて中身が返ってきたらOK
```
curl -4 -v https://example.com
```

IP変動対策にDDNSを設定する

/etc/hotplug.d/ifaceに40-pppoeというファイルを作り、以下の内容を記述する。

#!/bin/sh

[ -n "$DEVICE" ] || exit 0
[ "$ACTION" = ifup ] || exit 0
[ "$INTERFACE" = wanppp ] || exit 0

vdpw=ここにDDNS更新用のパスワード
pppoeaddr=$(ip -4 addr show pppoe-wanppp | head -2 | tail -1 | awk '{print $2}')
logger -t "DDNS - PPPoE IP" $pppoeaddr
# hoge.example.comに対して更新リクエストを飛ばす例
logger -t "DDNS - DOMAIN: hoge" $(wget -O - "https://dyn.value-domain.com/cgi-bin/dyn.fcg?d=example.com&p=$vdpw$&h=hoge&i=$pppoeaddr")

# When making requests for multiple domains, wait 60 seconds between each request

このスクリプトはhotplugイベントが発生したときにファイルパス順に呼ばれるスクリプトらしい。

ひとまずデバイスでなく、インターフェイスが起動したときで、かつインターフェース名がwanpppの時に実行されるように組んである。

注意点として、このエンドポイントはレートリミットがシビアで、60秒以内に送ると503を返してくるようなので、複数回投げる場合はsleep 61とかして間隔をあけると良さそうだ。数が増えてきたらバリュードメインAPIのDNS設定APIを利用した方が早いだろう。

ただしこのAPIはTTLの制御に難があり、処理方法によっては3600秒に固定される罠が潜んでいるので注意が必要だ。

トラブルシュート

curlで「Connection refused」や「接続が拒絶されました」と出る

/var/log/ufw.logにログがあればufwで穴をあける（まずこれはない）
ファイアーウォールかルーティングかNATの設定のどこかがおかしいので見直す。

雑感：かなり苦しい

IPv4, v6のデュアルスタックに出来たのはいいが、幾つかの端末で繋いだところIPv4側に流れるケースがあった。メインのv6でなく、オプションのv4に行くという状況はやや残念だ。

構成的にもマルチセッションという微妙な形態で、v4とv6でインターフェースが二系統あり、セキュリティもNATとFWがあり、なかなか複雑な状態になってしまった。

Mastodonにおいてはv4IPのインスタンス（兵庫丼）との疎通はTLレベルでは出来たものの、画像が出なくなるという頭が痛い問題に出会った。

Misskey.ioからは疎通できず、こちらからはユーザープロフィールまではアクセスできるがフォローを押しても音沙汰がない。

結論としてはリッチなアプリケーション通信を伴う用途において、この方式は向かない気がした。恐れくこれはルーターより外側がIPoEとPPPoEで別系統になっている関係で、通信が混乱して上手くいかないパターンがあるのではないかと感じている。

DDNSも制約が厳しいし、Value DomainのAPIはあるだけマシではあるものの、超絶使いづらい問題もあり、この環境においてのデュアルスタックはあきらめようと思った。

まぁいい勉強にはなったので、そのうち何かに活かせるだろう、きっと。

Lycolog

お知らせ