systemd-networkd中IPMasquerade导致IPv6路由丢失问题解析

在Linux网络配置中，systemd-networkd作为现代化的网络管理工具，其某些配置项的交互行为可能会产生意想不到的结果。最近发现一个典型案例：当在容器网络接口配置中启用IPMasquerade时，会导致主机的IPv6默认路由和地址意外丢失。

问题现象

用户在使用systemd-nspawn启动容器时，观察到以下异常现象：

1. 主机的全局IPv6地址（特别是通过RA获取的地址）突然消失
2. IPv6默认路由被清除
3. 容器内部无法获得有效的IPv6连接
4. 仅剩容器创建的veth接口路由条目

根本原因分析

经过深入排查，发现问题源于网络配置文件中的两个关键配置：

1. 主网络接口配置（20-wired.network）启用了DHCP和IPv6 RA接收
2. 容器veth接口配置（30-my-xxx.network）设置了IPMasquerade=both

当IPMasquerade=both启用时，systemd-networkd会自动执行以下操作：

• 启用IPv4和IPv6的数据包转发（ip_forward=1）
• 禁用所有接口的IPv6路由通告接收（IPv6AcceptRA=no）

这种设计源于安全考虑：当系统作为路由器使用时，通常不应该同时接收RA通告。然而这种全局性的行为会影响所有网络接口，包括那些本应继续接收RA的主接口。

解决方案

有两种可行的解决方法：

方案一：保留IPMasquerade但限制转发

在主网络接口配置中明确禁用IPv6转发：

[Network]
DHCP=yes
IPv6Forwarding=no

方案二：分离网络角色

更规范的部署方式是：

1. 主接口仅作为终端设备，不启用转发
2. 容器接口专门配置为网关角色

最佳实践建议

1. 避免在终端主机上全局启用IPMasquerade
2. 对于容器网络，考虑使用独立的网络命名空间
3. 重要生产环境中应对网络配置变更进行预验证
4. 监控systemd-networkd日志中的RA相关警告

深度技术背景

IPv6的路由通告（RA）机制与IPv4的DHCP有本质区别。在IPv6环境中：

• 主机通过接收路由器发送的RA报文获取网络配置
• 默认路由通常由RA报文中的路由信息选项提供
• 地址自动配置（SLAAC）依赖于RA报文中的前缀信息

当系统被配置为路由器时（通过启用IPMasquerade或手动设置ip_forward），接收RA可能会导致路由表混乱，因此systemd-networkd采取了保守的安全策略。

理解这些底层机制有助于网络管理员做出更合理的架构决策，避免类似问题的发生。