Debian12 VPS 添加 HE IPv6 隧道并保持运行

IMPORTANT
请注意，本文适用于 Debian 12 纯 IPv4 VPS。如果你的 VPS 已经自带原生 IPv6，一般不需要使用 HE Tunnelbroker。
本文方案不会接管主网卡，也不会重启主网络服务，目的是尽量避免远程 SSH 断连。

操作环境：Debian 12 KVM VPS / 仅 IPv4 入口
目标：给纯 IPv4 VPS 添加 HE Tunnelbroker IPv6，并在重启后自动恢复
核心方案：ifupdown v4tunnel + systemd timer watchdog

一、准备 HE Tunnelbroker 参数#

先到 HE Tunnelbroker 创建一个 Regular Tunnel。

创建完成后，在隧道详情页记录下面 4 个核心参数：

1
Server IPv4 Address
2
Client IPv4 Address
3
Server IPv6 Address
4
Client IPv6 Address

例如：

1
Server IPv4 Address: 74.82.46.6
2
Client IPv4 Address: 162.43.91.133
3
Server IPv6 Address: 2001:470:23:543::1/64
4
Client IPv6 Address: 2001:470:23:543::2/64

脚本里填写 IPv6 时，不要带 /64 后缀，例如：

1
2001:470:23:543::2
2
2001:470:23:543::1

IMPORTANT
HE 的 6in4 隧道使用的是 IPv4 protocol 41，不是 TCP 41 端口，也不是 UDP 41 端口。
如果 VPS 服务商或上游网络不放行 protocol 41，隧道接口可能能创建成功，但 IPv6 不会真正通。

二、确认 VPS 当前公网 IPv4#

在 VPS 上执行：

1
ip -4 addr
2
ip route

如果已经安装 curl，也可以查看公网出口 IP：

1
curl -4 https://ifconfig.co

确认结果要和 HE 后台的 Client IPv4 Address 一致。

如果不一致，需要先在 HE 后台修改 Client IPv4 Address，否则隧道不会正常回包。

三、一键安装脚本#

下面脚本适合全新的 Debian 12 VPS 使用。

它会做这些事情：

安装最小依赖：ifupdown、iproute2、iputils-ping
写入 /etc/network/interfaces.d/he-ipv6
只拉起 he-ipv6 隧道，不重启主网卡
启用 networking，保证重启后自动拉起
创建 systemd timer，每 2 分钟检查一次 IPv6，不通则自动重建隧道

IMPORTANT
执行前请先修改脚本开头的 4 个参数：
Terminal window
1
CLIENT4="你的 Client IPv4"
2
SERVER4="HE 的 Server IPv4"
3
CLIENT6="你的 Client IPv6，不带 /64"
4
SERVER6="HE 的 Server IPv6，不带 /64"

1
cat > /root/install-he-ipv6.sh <<'EOF'
2
#!/bin/sh
3
set -eu
4

5
TUN="he-ipv6"
6

7
# ====== 请修改下面 4 个参数 ======
8
CLIENT4="YOUR_CLIENT_IPV4"
9
SERVER4="YOUR_SERVER_IPV4"
10
CLIENT6="YOUR_CLIENT_IPV6"
11
SERVER6="YOUR_SERVER_IPV6"
12
# =================================
13

14
# 用于 watchdog 测试 IPv6 出网，不依赖 DNS
15
TEST6="2001:4860:4860::8888"
16

17
if [ "$(id -u)" != "0" ]; then
18
    echo "请使用 root 用户执行本脚本。"
19
    exit 1
20
fi
21

22
echo "[1/9] 检查并安装最小依赖..."
23
NEED_APT=0
24
command -v ifup >/dev/null 2>&1 || NEED_APT=1
25
command -v ifdown >/dev/null 2>&1 || NEED_APT=1
26
command -v ip >/dev/null 2>&1 || NEED_APT=1
27
command -v ping >/dev/null 2>&1 || NEED_APT=1
28

29
if [ "$NEED_APT" = "1" ]; then
30
    apt-get update
31
    apt-get install -y ifupdown iproute2 iputils-ping
32
fi
33

34
echo "[2/9] 备份现有网络配置..."
35
BACKUP_DIR="/root/he-ipv6-backup-$(date +%Y%m%d-%H%M%S)"
36
mkdir -p "$BACKUP_DIR"
37
cp -a /etc/network/interfaces "$BACKUP_DIR/interfaces" 2>/dev/null || true
38
cp -a /etc/network/interfaces.d "$BACKUP_DIR/interfaces.d" 2>/dev/null || true
39

40
echo "[3/9] 开启 IPv6，并关闭 rp_filter 干扰..."
41
cat > /etc/sysctl.d/99-he-ipv6.conf <<EON
42
net.ipv6.conf.all.disable_ipv6=0
43
net.ipv6.conf.default.disable_ipv6=0
44
net.ipv4.conf.all.rp_filter=0
45
net.ipv4.conf.default.rp_filter=0
46
EON
47
sysctl -p /etc/sysctl.d/99-he-ipv6.conf >/dev/null 2>&1 || true
48
modprobe sit 2>/dev/null || true
49

50
echo "[4/9] 准备 /etc/network/interfaces.d ..."
51
mkdir -p /etc/network/interfaces.d
52

53
if [ ! -f /etc/network/interfaces ]; then
54
    cat > /etc/network/interfaces <<'EON'
55
auto lo
56
iface lo inet loopback
57

58
source /etc/network/interfaces.d/*
59
EON
60
else
61
    grep -q '^source /etc/network/interfaces.d/\*' /etc/network/interfaces 2>/dev/null || \
62
    echo 'source /etc/network/interfaces.d/*' >> /etc/network/interfaces
63
fi
64

65
echo "[5/9] 写入 HE IPv6 隧道配置..."
66
cat > /etc/network/interfaces.d/he-ipv6 <<EON
67
auto ${TUN}
68
iface ${TUN} inet6 v4tunnel
69
        address ${CLIENT6}
70
        netmask 64
71
        endpoint ${SERVER4}
72
        local ${CLIENT4}
73
        ttl 255
74
        gateway ${SERVER6}
75
        pre-up ip tunnel del ${TUN} 2>/dev/null || true
76
        post-down ip tunnel del ${TUN} 2>/dev/null || true
77
EON
78

79
echo "[6/9] 创建 watchdog 自恢复脚本..."
80
cat > /usr/local/sbin/he-ipv6-watchdog.sh <<EON
81
#!/bin/sh
82
set -eu
83

84
TUN="${TUN}"
85
TEST6="${TEST6}"
86

87
need_restart=0
88

89
if ! ip link show "\$TUN" >/dev/null 2>&1; then
90
    need_restart=1
91
fi
92

93
if ! ip -6 route show default 2>/dev/null | grep -q "dev \$TUN"; then
94
    need_restart=1
95
fi
96

97
if ! ping -6 -c 1 -W 3 "\$TEST6" >/dev/null 2>&1; then
98
    need_restart=1
99
fi
100

101
if [ "\$need_restart" = "1" ]; then
102
    echo "[he-ipv6-watchdog] IPv6 tunnel seems down, rebuilding..."
103
    ifdown --force "\$TUN" 2>/dev/null || true
104
    ip tunnel del "\$TUN" 2>/dev/null || true
105
    ifup "\$TUN" 2>/dev/null || true
106
else
107
    echo "[he-ipv6-watchdog] IPv6 tunnel is OK."
108
fi
109
EON
110
chmod +x /usr/local/sbin/he-ipv6-watchdog.sh
111

112
echo "[7/9] 创建 systemd timer..."
113
cat > /etc/systemd/system/he-ipv6-watchdog.service <<'EON'
114
[Unit]
115
Description=Check and recover HE IPv6 tunnel
116

117
[Service]
118
Type=oneshot
119
ExecStart=/usr/local/sbin/he-ipv6-watchdog.sh
120
EON
121

122
cat > /etc/systemd/system/he-ipv6-watchdog.timer <<'EON'
123
[Unit]
124
Description=Run HE IPv6 tunnel watchdog periodically
125

126
[Timer]
127
OnBootSec=60
128
OnUnitActiveSec=120
129
AccuracySec=15
130
Persistent=true
131

132
[Install]
133
WantedBy=timers.target
134
EON
135

136
systemctl daemon-reload
137

138
echo "[8/9] 拉起 HE IPv6 隧道，只操作 he-ipv6，不重启主网络..."
139
ip tunnel del "${TUN}" 2>/dev/null || true
140
ifdown --force "${TUN}" 2>/dev/null || true
141
ifup "${TUN}"
142

143
echo "[9/9] 启用开机自启和 watchdog..."
144
systemctl enable networking >/dev/null 2>&1 || true
145
systemctl enable --now he-ipv6-watchdog.timer >/dev/null
146

147
echo
148
echo "[OK] HE IPv6 隧道配置完成。"
149
echo
150
echo "===== tunnel ====="
151
ip tunnel show "${TUN}" || true
152
echo
153
echo "===== address ====="
154
ip -6 addr show dev "${TUN}" || true
155
echo
156
echo "===== route ====="
157
ip -6 route || true
158
echo
159
echo "===== test ====="
160
ping -6 -c 3 "${TEST6}" || true
161
echo
162
echo "如果上面的 ping 有回包，可以继续测试："
163
echo "  getent hosts ipv6.google.com"
164
echo "  ping -6 -c 3 ipv6.google.com"
165
echo "  curl -6 https://ifconfig.co"
166
EOF
167

168
chmod +x /root/install-he-ipv6.sh
169
/root/install-he-ipv6.sh

四、使用示例#

假设你的 HE 后台信息如下：

1
Server IPv4 Address: 74.82.46.6
2
Client IPv4 Address: 162.43.91.133
3
Server IPv6 Address: 2001:470:23:543::1/64
4
Client IPv6 Address: 2001:470:23:543::2/64

那么脚本开头应改成：

1
CLIENT4="162.43.91.133"
2
SERVER4="74.82.46.6"
3
CLIENT6="2001:470:23:543::2"
4
SERVER6="2001:470:23:543::1"

然后执行：

1
chmod +x /root/install-he-ipv6.sh
2
/root/install-he-ipv6.sh

五、测试 IPv6 是否成功#

先测试纯 IPv6 地址，不依赖 DNS：

1
ping -6 -c 3 2001:4860:4860::8888

再测试域名解析与 IPv6 出口：

1
getent hosts ipv6.google.com
2
ping -6 -c 3 ipv6.google.com
3
curl -6 https://ifconfig.co

如果 curl -6 https://ifconfig.co 返回你的 HE Client IPv6，例如：

1
2001:470:23:543::2

说明 IPv6 已经配置成功。

TIP
有些情况下，ping -6 HE 的 Server IPv6 可能不回包，但外网 IPv6 是通的。
最终建议以这两个结果为准：
Terminal window
1
ping -6 -c 3 2001:4860:4860::8888
2
curl -6 https://ifconfig.co

六、DNS 解析失败时的处理#

如果出现这种情况：

1
ping -6 2001:4860:4860::8888 能通
2
ping -6 ipv6.google.com 不通
3
curl -6 https://ifconfig.co 提示 Could not resolve host

说明 IPv6 已经通了，问题只是 DNS。

可以直接写一个静态 /etc/resolv.conf：

1
rm -f /etc/resolv.conf
2

3
cat > /etc/resolv.conf <<'EOF'
4
nameserver 2001:470:20::2
5
nameserver 2606:4700:4700::1111
6
nameserver 2001:4860:4860::8888
7
nameserver 74.82.42.42
8
nameserver 1.1.1.1
9
nameserver 8.8.8.8
10
options timeout:2 attempts:2
11
EOF

然后重新测试：

1
getent hosts ipv6.google.com
2
ping -6 -c 3 ipv6.google.com
3
curl -6 https://ifconfig.co

七、查看运行状态#

查看隧道：

1
ip tunnel show he-ipv6
2
ip -6 addr show dev he-ipv6
3
ip -6 route

查看 watchdog 定时器：

1
systemctl status he-ipv6-watchdog.timer --no-pager
2
systemctl list-timers | grep he-ipv6

查看 watchdog 日志：

1
journalctl -u he-ipv6-watchdog.service -n 50 --no-pager

手动重建隧道：

1
ifdown --force he-ipv6 2>/dev/null || true
2
ip tunnel del he-ipv6 2>/dev/null || true
3
ifup he-ipv6

八、故障排查#

1. 提示 Network is unreachable#

说明本机没有 IPv6 默认路由。

检查：

1
ip -6 route

正常应看到类似：

1
default via 2001:470:23:543::1 dev he-ipv6

如果没有，重新拉起隧道：

1
ifdown --force he-ipv6 2>/dev/null || true
2
ip tunnel del he-ipv6 2>/dev/null || true
3
ifup he-ipv6

2. IPv6 路由有了，但 ping 外网 100% 丢包#

先确认 IPv4 出口是否和 HE 后台一致：

1
ip route get HE_SERVER_IPV4
2
curl -4 https://ifconfig.co

例如：

1
ip route get 74.82.46.6
2
curl -4 https://ifconfig.co

如果 curl -4 返回的 IPv4 不是 HE 后台的 Client IPv4 Address，需要去 HE 后台更新 Client IPv4。

3. 抓包确认 protocol 41 是否有回包#

安装 tcpdump 后可以抓包：

1
apt install -y tcpdump
2

3
tcpdump -ni any 'ip proto 41 or host HE_SERVER_IPV4'

另开一个窗口执行：

1
ping -6 -c 3 HE_SERVER_IPV6

如果只看到：

1
Out IP CLIENT_IPV4 > SERVER_IPV4

没有看到：

1
In IP SERVER_IPV4 > CLIENT_IPV4

通常说明 HE 后台 endpoint 没生效，或者上游网络没有把 protocol 41 回包送回来。

可以尝试在 HE 后台重新保存 Client IPv4 Address，或者删除重建 tunnel。

九、卸载脚本#

如果以后不用 HE IPv6，可以执行：

1
systemctl disable --now he-ipv6-watchdog.timer 2>/dev/null || true
2
rm -f /etc/systemd/system/he-ipv6-watchdog.service
3
rm -f /etc/systemd/system/he-ipv6-watchdog.timer
4
rm -f /usr/local/sbin/he-ipv6-watchdog.sh
5
rm -f /etc/network/interfaces.d/he-ipv6
6
systemctl daemon-reload
7

8
ifdown --force he-ipv6 2>/dev/null || true
9
ip tunnel del he-ipv6 2>/dev/null || true

十、关于 Routed /64 和 LXC 容器#

HE 一般会给两段 IPv6：

1
Tunnel /64：用于 he-ipv6 隧道本身
2
Routed /64：用于分配给网站、Docker、LXC、虚拟机等业务

例如：

1
Tunnel Client IPv6: 2001:470:23:543::2
2
Routed /64:         2001:470:24:543::/64

如果以后要给 LXC 容器分配公网 IPv6，建议使用 Routed /64，不要直接使用 tunnel 的 /64。

例如：

1
宿主机网关：2001:470:24:543::1
2
容器 101： 2001:470:24:543::101
3
容器 102： 2001:470:24:543::102

总结#

本文方案的核心是：

1
Debian 12 纯 IPv4 VPS
2
        ↓
3
HE Tunnelbroker 6in4
4
        ↓
5
/etc/network/interfaces.d/he-ipv6
6
        ↓
7
systemd timer 定时检查并自动恢复

它的优点是：

不重启主网络
不接管主网卡
SSH 断连风险低
重启后可自动恢复
隧道异常时会定时自修复

需要注意的是：DD 重装系统会清空系统文件，所以重装后需要重新执行本文的一键脚本。