恢复 OCI Terraform 与站点网络 IaC

2026-09-17 13:22:49 +00:00
parent a08c8a7303
commit 71eea7d8fc
41 changed files with 1786 additions and 10 deletions
@@ -0,0 +1,232 @@
+# VyOS ↔ OCI：WireGuard 与 DN42 内部 BGP
+
+站点端已从 laptop 迁移到 VyOS `192.168.10.2`。VyOS 位于双层 NAT 后，主动连接
+`oci-amd.ddupan.top:51820`，keepalive 25 秒；LAN 访问 DN42 时在 VyOS 做定向 masquerade。
+主机配置由 Ansible 管理；OCI NSG、VNIC 转发和 VCN 回程路由由旁边的 Terraform 管理。
+
+| 节点 | 接口 | 传输 IPv4 | 传输 IPv6 | ASN |
+|---|---|---|---|---|
+| VyOS | wg42 | 172.21.111.161/32 | fe80::1811:1/64（BGP） | 4242421811 |
+| AMD | wg-oci | 10.255.254.1/30（历史传输地址） | fe80::1811:2/64（BGP） | 4242421811 |
+
+AMD 显式设置 `fe80::1811:2/64`；VyOS BGP 使用固定 `fe80::1811:1/64`，双方 AllowedIPs 包含
+`fe80::/64`。FRR 在 ULA 建邻时仍需接口具有 link-local 下一跳地址。
+
+MTU 1380，Linux 使用 `Table = off`，WireGuard AllowedIPs 用于选 peer 与源地址校验，
+站点路由由 iBGP 安装。内外部均使用单条 IPv6 link-local 会话承载双 AFI，并启用 extended-nexthop。
+内部旧 IPv4/ULA BGP 邻居已退役；ULA 传输地址保留用于路由下一跳，不再用于建邻。
+VyOS 10.2.4 通过 `OCI-MP-IN` 的 `ipv6-next-hop prefer-global` 优先采用通告中的 ULA 下一跳，
+避免 link-local NHT 显示 overlay index unresolved、BGP 已建邻但路由未安装。
+
+## 地址与通告边界
+
+已注册 `172.21.111.160/27`、`fdd0:98df:15b0::/48`：
+
+| 节点 | 路由器 IPv4 | 路由器 IPv6 |
+|---|---|---|
+| VyOS（IPv4 在 wg42，IPv6 在 lo） | 172.21.111.161/32 | fdd0:98df:15b0::1/128 |
+| AMD loopback | 172.21.111.162/32 | fdd0:98df:15b0::2/128 |
+
+VyOS 为注册的 /27、/48 建立 distance 254 的 blackhole 聚合路由，保证精确前缀存在，
+避免未分配地址落入默认路由。已分配的本地地址及 AMD 的 /32、/128 优先于聚合。
+
+内部通告严格过滤：
+
+- VyOS → AMD：`192.168.10.0/24`、`10.60.0.0/24`、`10.61.0.0/24` 和注册 /27、/48。
+- AMD → VyOS：`10.0.0.0/24`、AMD 的注册 /32、/128，以及 DN42 汇总 `172.20.0.0/14`、`fd00::/8`。
+- VyOS 向 LAN OSPF 只重分发 OCI /24、DN42 /14 和注册 IPv4 /27，使用精确 route-map、E1 metric。
+  既有直连 LAN/SDN 的 OSPF area 声明保持不变，不使用泛化的 redistribute connected。
+
+**首个外部 peer 为 RoutedBits Osaka（AS4242420207），由 `dn42.yml` 单独管理。** 外部邻居使用独立的 import/export
+过滤，只对外通告注册 /27、/48；禁止把上述内部业务前缀的过滤器复用到外部邻居。
+入口使用 DN42 指南的保留地址、互联网络与前缀长度规则（IPv6 /44–/64），
+并优先拒收本 AS、LAN、OCI 前缀；尚未配置注册表 ROA 校验。外部明细留在 AMD，汇总通过 iBGP 下发 VyOS；IPv4 汇总再经 OSPF 下发 LAN。
+
+每个外部 WireGuard peer 使用独立接口，BGP 可复用本机 loopback 地址。
+单接口多个 WireGuard peer 要求可明确区分的 AllowedIPs；多家 peer 都提供同一 DN42 路由范围时，
+使用独立接口让 BGP 决定出口，避免相同 AllowedIPs 抢占 peer。
+
+## 执行
+
+```bash
+cd infrastructure/oci/ansible
+export SSH_AUTH_SOCK="$(gpgconf --list-dirs agent-ssh-socket)"
+ansible-playbook site.yml --check --diff
+ansible-playbook site.yml
+ansible-playbook site.yml  # 复跑应 changed=0
+```
+
+`vyos.yml` 先在路由器本机生成密钥并保存，再交换公钥并增量应用 VyOS set 命令。
+VyOS native config 含私钥，因此相关模块使用 `no_log`，不把配置备份到 Git 或打印出来。
+AMD 私钥在 `/etc/wireguard/wg-oci.key`（0600），由本机 PostUp 加载，不返回控制机。
+首次 check mode 无法生成私钥，因此会跳过依赖不存在公钥的 Linux 配置渲染。
+
+`retire-laptop.yml` 是迁移收尾：先检查 VyOS 邻居，再停止 laptop 的 wg-oci，
+删除试验邻居、三个新增 network 语句及专用防火墙链，保留 laptop 原 AS65001 ↔ NEC AS65000
+会话、原有 VPN 路由和 OSPF。旧私钥保留在 laptop 受限文件中，隧道和防火墙单元已禁用。
+
+Linux 端 FRR 通过 `vtysh -f` 应用独立配置片段，另行 `write memory` 持久化；
+文件变更时重建受管邻居，未变更的重跑不重置会话。移除前缀时还须显式删除已退出管理的
+`network` 语句，不能只追加 set 命令，也不能清空整份 BGP 配置。
+
+## OCI 回程与 Tailscale
+
+VCN 虚拟路由器不参与主机间 iBGP；三个家中业务前缀的静态回程指向 AMD Private IP OCID。
+首次启用时必须先将 VNIC `skip_source_dest_check` 设为 true，OCI 才接受该私有 IP 为路由目标。
+当前 Terraform 的 route table → subnet → instance 依赖使首次引导需要先设置该标志。
+重建 AMD 后须重新查询并更新 `amd_router_private_ip_ocid`。
+
+ARM 接受 Tailscale 家中子网路由，table 52 原本抢走回程。
+Ansible 在 ARM 设置 priority 5101–5103、仅匹配这三个目的前缀的 `lookup main` 规则，
+让这些流量使用 OCI 网关→AMD；其他 Tailscale 地址保持原路径。
+AMD 的 Zebra route-map 仅为本机发起的 BGP 业务流量选择 `10.0.0.158` 源地址，不改写转发源地址。
+
+## Docker 地址冲突
+
+DN42 使用 `172.20.0.0/14`。原 laptop Docker 的四个 /16 已清除，默认池改为 `172.28.0.0/16`，
+详见 [Docker runbook](../../docker/README.md)。最长前缀匹配决定路由，但不能解决两套网络实际
+地址重叠；不能只检查本 AS 注册的 /27 而忽略其他 DN42 注册前缀。
+
+## 验证与停用
+
+```bash
+# VyOS operational mode
+show interfaces wireguard wg42 summary
+show bgp summary
+show ip route 172.21.111.162/32
+show ipv6 route fdd0:98df:15b0::2/128
+# AMD
+sudo wg show wg-oci latest-handshakes
+sudo vtysh -c 'show bgp summary'
+ping 192.168.10.4
+ping -I 172.21.111.162 172.21.111.161
+ping -6 -I fdd0:98df:15b0::2 fdd0:98df:15b0::1
+```
+
+业务网段测试应使用业务源地址；DN42 loopback 测试使用注册地址。
+LAN 已通过 `dn42-ra.yml` 部署 DN42 SLAAC 与专用 RIO，不发布 IPv6 默认路由；OCI VCN 保持原配置。
+停用或回滚须同时处理 BGP、WireGuard、OSPF 重分发、VCN 回程和 ARM 例外规则，
+不能仅停止隧道后留下静态回程指向不可达节点。
+
+参考：[WireGuard](https://www.wireguard.com/quickstart/)、
+[VyOS WireGuard](https://docs.vyos.io/en/1.5/configuration/interfaces/wireguard.html)、
+[DN42 入门](https://www.dn42.dev/howto/Getting-Started)。
+
+## 迁移验收
+
+2026-09-14：
+
+- VyOS IPv4 iBGP 收到 OCI /24、AMD /32，通告三个家中前缀与注册 /27；IPv6 会话双方各收到一条前缀。
+- 两端 DN42 loopback IPv4、IPv6 互通；IPv6 本次采样约 3.1 ms。
+- laptop 的 `10.0.0.0/24` 与 `172.21.111.160/27` 经 OSPF 指向 `192.168.10.2`，不再使用旧隧道。
+- PVE1 可访问 ARM 私网和 AMD 的 DN42 IPv4；AMD 可访问 PVE1、`10.60.0.1`、`10.61.0.1`。
+- laptop 旧 WireGuard 和专用防火墙 service 已停止/禁用，原 NEC BGP 会话保留。
+
+LAN 网关可能返回 ICMP Redirect，提示客户端将 VyOS 作为同网段下一跳；这是既有 LAN
+拓扑的正常结果，没有为此修改客户端或网关的 redirect 策略。
+
+## AMD 外部 DN42 首个接口
+
+2026-09-15 已通过 `ansible-playbook dn42.yml` 准备独立监听：
+
+- 接口：`wg-dn42-1`，UDP endpoint：`oci-amd.ddupan.top:51821`（`129.225.176.134:51821`）。
+- 公钥：`YQ/X3QmNocnr0u4aUm5qhcV328StSNtg+ULd9AKCdhQ=`。
+- 私钥仅保存在 AMD `/etc/wireguard/wg-dn42-1.key`，由 root 受限目录保护，不返回控制机。
+- `wg-quick@wg-dn42-1` 开机启动；主机入站规则随接口启停，OCI NSG 规则由 Terraform 管理。
+- Link-local：`fe80::1811:2/64`，本机作用域为 `%wg-dn42-1`。首个 peer 使用单条 IPv6 BGP 会话承载双栈（MP-BGP + RFC 8950 extended next hop）。
+- 对端：AS4242420207，`router.osa1.routedbits.com:51811`，link-local `fe80::207`。
+- 对端公钥：`96PwUEGi/ijdmKO+IjuZ+J6DeykuTRukZD5atajfeH4=`。
+- WireGuard 使用 `Table = off`；AllowedIPs 为 `fe80::/64, 172.20.0.0/14, 10.0.0.0/8, 172.31.0.0/16, fd00::/8`，keepalive 25 秒。
+- 双 AFI 共用 IPv6 TCP 会话并启用 extended-nexthop；每 AFI maximum-prefix 10000，出口只允许注册 /27 和 /48。
+- 本机发起 DN42 流量使用注册地址作为 preferred source，不做 NAT。
+- Ubuntu 自带 FRR 8.4.4 不满足 [DN42 FRR 指南](https://dn42.dev/howto/frr) 的 link-local 版本要求。
+  `tasks/frr-dn42.yml` 使用官方 frr-10.7 软件源，固定 10.7.1；升级前配置仅在 AMD `/var/backups/frr-before-dn42` 备份。
+
+原 `wg-oci:51820` 继续承载与 VyOS 的内部互联。
+
+2026-09-15 接入验收：WireGuard 握手与 `fe80::207%wg-dn42-1` 连通；FRR 10.7.1
+会话 Established，双方已协商 IPv4/IPv6 AFI 与 extended nexthop。采样接收 IPv4 1174、IPv6 1273 条，
+对外仅通告 `172.21.111.160/27`、`fdd0:98df:15b0::/48`。AMD 无需显式指定源地址，
+即可访问对端 `172.20.19.78`、`fdb1:e72a:343d::f`，各 3/3 回复，约 1 ms；
+IPv4 内核路由下一跳为 `via inet6 fe80::207 dev wg-dn42-1`。内部 VyOS 双栈 BGP 会话已恢复。
+
+## 向 LAN 分发 DN42 汇总
+
+`site.yml` 在 AMD 生成 `172.20.0.0/14`、`fd00::/8` 的 BGP aggregate，并通过内部精确
+prefix-list 通告 VyOS。不使用全局 `summary-only`，避免抑制对外通告的注册 /27、/48；
+对外出口过滤仍只允许这两个注册前缀。AMD 保留外部明细与汇总丢弃路径，无匹配明细的流量
+在 AMD 丢弃。汇总只要仍有覆盖的 BGP 明细（包括本 AS 注册前缀）就可能存在，不能作为外部
+peer 在线状态指示。自己的 /27、/48 更具体，继续指向本地站点。
+
+VyOS 将 IPv4 /14 通过既有 OSPF E1 分发到 LAN；IPv6 /8 通过 RA 的 RIO 分发至接受该选项的客户端。
+LAN 的 DN42 IPv6 地址通过 SLAAC 自动分配。
+当前 LAN IPv4 客户端访问 DN42 /14 由 VyOS 定向 masquerade 到 `172.21.111.161`；
+IPv6 使用 SLAAC 分配的注册地址直接路由。
+AMD 只放行注册前缀在内部 `wg-oci` 与外部 `wg-dn42-1` 之间转发。
+
+2026-09-15 汇总验收：VyOS 双栈 BGP 分别收到 /14、/8，下一跳为 AMD；
+laptop 的 `172.20.0.0/14` 为 OSPF 路由，经 `192.168.10.2 dev br0`。
+使用 VyOS 注册的 /32、/128 作为源，经 AMD 访问 RoutedBits 的双栈地址各 3/3 回复，
+约 4–5 ms。`site.yml` 执行成功，ARM 无变更；LAN 地址配置保持原状。
+
+## DN42 DNS 转发
+
+`ansible-playbook dn42.yml dn42-dns.yml` 管理入口路由和 VyOS DNS。LAN 的 Blocky
+(`192.168.10.127`) 将 `.dn42`、172.20–23 的 IPv4 反向区和 `d.f.ip6.arpa`
+转给 VyOS `192.168.10.2:53`。VyOS 仅接受三个内部 LAN 网段，使用注册地址
+`172.21.111.161` / `fdd0:98df:15b0::1` 发起递归转发，不做 NAT。
+
+| 上游 | IPv4 | IPv6 |
+|---|---|---|
+| a0.recursive-servers.dn42 | 172.20.0.53 | fd42:d42:d42:54::1 |
+| a3.recursive-servers.dn42 | 172.23.0.53 | fd42:d42:d42:53::1 |
+
+两个上游的双栈地址均配置，递归请求设置 RD；转发域配置 NTA，避免使用公网根信任链
+验证 DN42 私有命名空间。本地转发器不声明已完成 DN42 DNSSEC 信任锚验证。
+IPv4 anycast /32 需要允许四个 `172.2x.0.0/24` 中的 /28–/32，不能只保留 /14 的 /21–/29。
+新增互联网络明细仅由 AMD 接收；LAN 汇总仍是既定 /14、通过 RIO 通告的 IPv6 /8。
+NEC 备用 DNS 与 k3s CoreDNS 本次未修改。
+
+DNS 验收（2026-09-15）：从 VyOS 用注册地址直查 a0/a3 的四个双栈地址均获得回复。
+LAN 查询 Blocky 可得到 a0 的 A、a3 的 AAAA；AD 与公网域名正常，Blocky healthy。
+VyOS DNS playbook 复跑 changed=0；AMD 已应用完整入口规则。
+
+## VyOS LAN 到 DN42 masquerade
+
+规则 18100 排除本 AS `172.21.111.160/27`；18110、18120、18130 分别匹配三个 LAN
+源网段，目的仅 `172.20.0.0/14` 且出口 `wg42`，translation 为 `masquerade`。
+为使 masquerade 选中注册地址，`172.21.111.161/32` 从 lo 移到 wg42，并移除
+`10.255.254.2/30`；不能在 wg42 仍以传输私网地址为主 IPv4 时直接启用 masquerade。
+现有 OCI 业务互联继续保留原源地址，DNS 转发使用的 `172.21.111.161` 保持可用。
+AMD 仍仅允许 DN42 注册源前缀进入外部隧道，不在 AMD 做第二次 NAT。
+
+2026-09-15 masquerade 验收：laptop `192.168.10.127` 到 RoutedBits `172.20.19.78`
+3/3 回复约 4.7 ms，VyOS NAT 表显示转换为 `172.21.111.161`；到 ARM `10.0.0.124`
+3/3 回复约 4.2 ms，NAT 表确认保留 `192.168.10.127`。
+内部 link-local 单会话双 AFI 已建立；外部 peer 保持独立接口和精确出口。
+
+## LAN DN42 IPv6 RA（不发布默认路由）
+
+执行 `ansible-playbook dn42-ra.yml`，为三个 LAN 启用 SLAAC：
+
+| LAN | VyOS 接口 | 前缀 | 路由器地址 |
+|---|---|---|---|
+| 192.168.10.0/24 | eth0 | fdd0:98df:15b0:10::/64 | fdd0:98df:15b0:10::1 |
+| 10.60.0.0/24 | eth1 | fdd0:98df:15b0:60::/64 | fdd0:98df:15b0:60::1 |
+| 10.61.0.0/24 | eth2 | fdd0:98df:15b0:61::/64 | fdd0:98df:15b0:61::1 |
+
+Router Lifetime 为 **0**，不发布 `::/0`；PIO 开启 on-link 与 autonomous 标志，
+preferred lifetime 14400 秒、valid lifetime 86400 秒。RIO 只包含 `fd00::/8`，
+有效期 180 秒；RA 周期 10–30 秒。不发布 RDNSS、DNSSL、DHCPv6 标志或链路 MTU，
+保留客户端现有 DNS 和公网出口。IPv6 经 VyOS→AMD→DN42 直接路由，不做 NAT66。
+现有 /48 对外通告及内部回程已覆盖这三个 /64，无须泄漏每个 LAN 的明细到外部。
+
+客户端须支持并接受 RIO。当前 laptop 的 br0 `accept_ra=0`、`forwarding=1`，
+不会自动配置；本次保留其网络设置。Linux 路由主机如需接受 RA，需要在自身网络管理
+配置中显式启用，并允许至少 /8 的 RIO（`accept_ra_rt_info_max_plen`）。
+关闭 RA 时注意 PIO 的有效期；不要只删路由器接口地址而留下仍有效的客户端地址。
+
+2026-09-15 RA 抓包验收：主 LAN 收到不带标签的 `:10::/64`；VLAN 100/110
+分别携带 `:60::/64`、`:61::/64`。三者 Router Lifetime 均为 0，PIO 为 onlink/auto，
+RIO 为 fd00::/8、180 秒，没有 DNS 或默认路由通告。`dn42-ra.yml` 复跑 changed=0。
+同一 LAN 上的临时 Linux 测试客户端自动获得地址与 RIO，无 IPv6 默认路由；测试后自动删除。
@@ -0,0 +1,8 @@
+[defaults]
+inventory = inventory/hosts.yml
+roles_path = roles
+local_tmp = /tmp/ansible-oci
+host_key_checking = True
+interpreter_python = auto_silent
+[ssh_connection]
+ssh_args = -o ControlMaster=auto -o ControlPersist=60s -o StrictHostKeyChecking=accept-new
@@ -0,0 +1,23 @@
+---
+- name: 配置 VyOS DN42 DNS 转发
+  hosts: site_routers
+  gather_facts: false
+  vars:
+    dn42_dns_zones:
+      - dn42
+      - 20.172.in-addr.arpa
+      - 21.172.in-addr.arpa
+      - 22.172.in-addr.arpa
+      - 23.172.in-addr.arpa
+      - d.f.ip6.arpa
+    dn42_dns_servers:
+      - 172.20.0.53
+      - 172.23.0.53
+      - fd42:d42:d42:54::1
+      - fd42:d42:d42:53::1
+  tasks:
+    - name: 配置受限监听、注册地址源与条件转发
+      vyos.vyos.vyos_config:
+        lines: "{{ lookup('template', 'templates/vyos-dn42-dns.conf.j2').splitlines() | reject('equalto', '') | list }}"
+        save: true
+        comment: Ansible DN42 DNS forwarding
@@ -0,0 +1,21 @@
+---
+- name: 在 LAN 通告 DN42 SLAAC 地址与专用路由
+  hosts: site_routers
+  gather_facts: false
+  vars:
+    dn42_ra_lans:
+      - interface: eth0
+        prefix: fdd0:98df:15b0:10::/64
+        address: fdd0:98df:15b0:10::1/64
+      - interface: eth1
+        prefix: fdd0:98df:15b0:60::/64
+        address: fdd0:98df:15b0:60::1/64
+      - interface: eth2
+        prefix: fdd0:98df:15b0:61::/64
+        address: fdd0:98df:15b0:61::1/64
+  tasks:
+    - name: 配置接口地址、SLAAC 与 RIO，不通告默认路由或 DNS
+      vyos.vyos.vyos_config:
+        lines: "{{ lookup('template', 'templates/vyos-dn42-ra.conf.j2').splitlines() | reject('equalto', '') | list }}"
+        save: true
+        comment: Ansible DN42 SLAAC without default route
@@ -0,0 +1,98 @@
+---
+# 首个外部 peer：RoutedBits Osaka，IPv6 link-local MP-BGP。
+- name: 准备 AMD DN42 WireGuard 监听
+  hosts: oci_amd
+  become: true
+  vars:
+    dn42_interface: wg-dn42-1
+    dn42_port: 51821
+    dn42_linklocal: fe80::1811:2/64
+    dn42_peer_linklocal: fe80::207
+    dn42_peer_asn: 4242420207
+    dn42_peer_endpoint: router.osa1.routedbits.com:51811
+    dn42_peer_public_key: 96PwUEGi/ijdmKO+IjuZ+J6DeykuTRukZD5atajfeH4=
+  tasks:
+    - name: 准备 FRR link-local 支持
+      ansible.builtin.import_tasks: tasks/frr-dn42.yml
+    - name: 创建受限密钥目录
+      ansible.builtin.file:
+        path: /etc/wireguard
+        state: directory
+        owner: root
+        group: root
+        mode: '0700'
+    - name: 在 AMD 本机生成独立私钥
+      ansible.builtin.shell: umask 077; wg genkey > /etc/wireguard/{{ dn42_interface }}.key
+      args:
+        creates: /etc/wireguard/{{ dn42_interface }}.key
+      no_log: true
+    - name: 写入监听配置
+      ansible.builtin.copy:
+        dest: /etc/wireguard/{{ dn42_interface }}.conf
+        owner: root
+        group: root
+        mode: '0600'
+        content: |
+          # Ansible 管理；首个 peer 使用 IPv6 link-local MP-BGP + extended next hop。
+          [Interface]
+          Address = {{ dn42_linklocal }}
+          ListenPort = {{ dn42_port }}
+          MTU = 1380
+          Table = off
+          PostUp = wg set %i private-key /etc/wireguard/{{ dn42_interface }}.key
+          PostUp = iptables -w -C INPUT -p udp --dport {{ dn42_port }} -j ACCEPT 2>/dev/null || iptables -w -I INPUT 1 -p udp --dport {{ dn42_port }} -j ACCEPT
+          PostDown = iptables -w -D INPUT -p udp --dport {{ dn42_port }} -j ACCEPT
+
+          [Peer]
+          PublicKey = {{ dn42_peer_public_key }}
+          Endpoint = {{ dn42_peer_endpoint }}
+          AllowedIPs = fe80::/64, 172.20.0.0/14, 10.0.0.0/8, 172.31.0.0/16, fd00::/8
+          PersistentKeepalive = 25
+      notify: 重启 DN42 接口
+    - name: 启用 DN42 监听
+      ansible.builtin.systemd_service:
+        name: wg-quick@{{ dn42_interface }}
+        enabled: true
+        state: started
+    - name: 应用配置
+      ansible.builtin.meta: flush_handlers
+    - name: 写入外部 BGP 配置片段
+      ansible.builtin.template:
+        src: templates/dn42-bgp.conf.j2
+        dest: /etc/frr/dn42-routedbits.vtysh
+        owner: root
+        group: frr
+        mode: '0640'
+      register: dn42_bgp_config
+      changed_when: dn42_bgp_config.changed or ('(deleted)' in frr_running.stdout)
+      notify: 应用 DN42 BGP
+    - name: 应用 BGP 配置
+      ansible.builtin.meta: flush_handlers
+    - name: 读取公开信息
+      ansible.builtin.command: wg show {{ dn42_interface }} {{ item }}
+      loop:
+        - public-key
+        - listen-port
+      changed_when: false
+      register: dn42_public_info
+    - name: 显示公钥和端口
+      ansible.builtin.debug:
+        msg: '{{ dn42_public_info.results | map(attribute="stdout") | list }}'
+  handlers:
+    - name: 重启 FRR
+      ansible.builtin.systemd_service:
+        name: frr
+        state: restarted
+      when: not ansible_check_mode
+    - name: 重启 DN42 接口
+      ansible.builtin.systemd_service:
+        name: wg-quick@{{ dn42_interface }}
+        state: restarted
+      when: not ansible_check_mode
+    - name: 应用 DN42 BGP
+      ansible.builtin.command: vtysh -f /etc/frr/dn42-routedbits.vtysh
+      notify: 保存 FRR 配置
+      when: not ansible_check_mode
+    - name: 保存 FRR 配置
+      ansible.builtin.command: vtysh -c 'write memory'
+      when: not ansible_check_mode
@@ -0,0 +1,9 @@
+---
+wg_interface: wg-oci
+wg_port: 51820
+wg_mtu: 1380
+wg_home_prefixes: [192.168.10.0/24, 10.60.0.0/24, 10.61.0.0/24]
+wg_cloud_prefixes: [10.0.0.0/24]
+dn42_asn: 4242421811
+dn42_ipv4: 172.21.111.160/27
+dn42_ipv6: fdd0:98df:15b0::/48
@@ -0,0 +1,12 @@
+---
+wg_address: 10.255.254.2/30
+wg_peer_address: 10.255.254.1
+wg_peer_host: oci_amd
+wg_endpoint: oci-amd.ddupan.top:51820
+wg_keepalive: 25
+wg_lan_interface: br0
+bgp_asn: 65001
+bgp_peer_asn: 4242421811
+bgp_router_id: 192.168.10.127
+bgp_export: '{{ wg_home_prefixes }}'
+bgp_import: '{{ wg_cloud_prefixes }}'
@@ -0,0 +1,34 @@
+---
+wg_address: 10.255.254.1/30
+wg_peer_address: 172.21.111.161
+wg_peer_host: vyos_rtr
+wg_endpoint: ''
+wg_keepalive: 0
+wg_lan_interface: ens3
+bgp_asn: 4242421811
+bgp_peer_asn: 4242421811
+bgp_router_id: 10.0.0.158
+bgp_export:
+- 10.0.0.0/24
+- 172.21.111.162/32
+bgp_import:
+- 192.168.10.0/24
+- 10.60.0.0/24
+- 10.61.0.0/24
+- 172.21.111.160/27
+wg_ipv6_address: fdd0:98df:15b0:ffff::1/64
+wg_peer_ipv6: fdd0:98df:15b0:ffff::2
+bgp_export6:
+- fdd0:98df:15b0::2/128
+bgp_import6:
+- fdd0:98df:15b0::/48
+wg_linklocal_address: fe80::1811:2/64
+
+# 仅向内部邻居通告汇总；外部 peer 保持精确出口过滤。
+bgp_summary: [172.20.0.0/14]
+bgp_summary6: [fd00::/8]
+dn42_external_interface: wg-dn42-1
+
+# 内部与外部统一使用 link-local 单会话双 AFI；节点地址仍在 loopback。
+bgp_transport_peer: fe80::1811:1
+bgp_retired_peers: [10.255.254.2, "fdd0:98df:15b0:ffff::2"]
@@ -0,0 +1,26 @@
+---
+all:
+  children:
+    wireguard_sites:
+      hosts:
+        oci_amd:
+          ansible_host: oci-amd.ddupan.top
+          ansible_user: ubuntu
+    oci_routed_hosts:
+      hosts:
+        oci_arm:
+          ansible_host: oci-arm.ddupan.top
+          ansible_user: ubuntu
+    retired_wireguard_sites:
+      hosts:
+        laptop:
+          ansible_connection: local
+          ansible_python_interpreter: /usr/bin/python3
+    site_routers:
+      hosts:
+        vyos_rtr:
+          ansible_host: 192.168.10.2
+          ansible_user: vyos
+          ansible_connection: ansible.netcommon.network_cli
+          ansible_network_os: vyos.vyos.vyos
+          ansible_ssh_private_key_file: ~/.ssh/id_ed25519
@@ -0,0 +1,92 @@
+---
+- name: 确认路由器内部 BGP 已建立
+  hosts: site_routers
+  gather_facts: false
+  tasks:
+    - name: 确认到 AMD 的邻居
+      vyos.vyos.vyos_command:
+        commands: show bgp neighbors 10.255.254.1
+      register: migration_bgp
+      changed_when: false
+      failed_when: "'BGP state = Established' not in migration_bgp.stdout[0]"
+
+- name: 退役 laptop 的 WireGuard 试验端点
+  hosts: retired_wireguard_sites
+  become: true
+  tasks:
+    - name: 停止并禁用旧隧道
+      ansible.builtin.systemd_service:
+        name: wg-quick@wg-oci
+        state: stopped
+        enabled: false
+
+    - name: 检查原 BGP 试验邻居是否存在
+      ansible.builtin.command: vtysh -c 'show running-config'
+      register: laptop_frr
+      changed_when: false
+
+    - name: 只移除本次试验添加的 BGP 节点，保留 NEC 邻居和 OSPF
+      ansible.builtin.command:
+        argv:
+          - vtysh
+          - -c
+          - configure terminal
+          - -c
+          - router bgp 65001
+          - -c
+          - no neighbor 10.255.254.1
+          - -c
+          - address-family ipv4 unicast
+          - -c
+          - no network 192.168.10.0/24
+          - -c
+          - no network 10.60.0.0/24
+          - -c
+          - no network 10.61.0.0/24
+          - -c
+          - exit-address-family
+          - -c
+          - exit
+          - -c
+          - no ip protocol bgp route-map OCI-WG-SOURCE
+          - -c
+          - no route-map OCI-WG-SOURCE
+          - -c
+          - no ip prefix-list OCI-WG-IN
+          - -c
+          - no ip prefix-list OCI-WG-OUT
+          - -c
+          - end
+          - -c
+          - write memory
+      when: "'neighbor 10.255.254.1 remote-as' in laptop_frr.stdout"
+
+    - name: 停止并禁用旧防火墙启动单元
+      ansible.builtin.systemd_service:
+        name: oci-wg-firewall
+        state: stopped
+        enabled: false
+
+    - name: 只删除旧隧道专用防火墙链
+      ansible.builtin.shell: |
+        set -eu
+        changed=0
+        for pair in INPUT:OCI-WG-IN FORWARD:OCI-WG-FWD; do
+          parent=${pair%%:*}; chain=${pair#*:}
+          if iptables -w -nL "$chain" >/dev/null 2>&1; then
+            while iptables -w -C "$parent" -j "$chain" 2>/dev/null; do
+              iptables -w -D "$parent" -j "$chain"
+            done
+            iptables -w -F "$chain"
+            iptables -w -X "$chain"
+            changed=1
+          fi
+        done
+        echo "$changed"
+      register: retired_chains
+      changed_when: retired_chains.stdout == '1'
+
+    - name: 移除旧的 BGP 配置片段，避免误用
+      ansible.builtin.file:
+        path: /etc/frr/oci-wireguard.vtysh
+        state: absent
@@ -0,0 +1,20 @@
+---
+- name: 重载 FRR daemons
+  ansible.builtin.systemd_service:
+    name: frr
+    state: reloaded
+  when: not ansible_check_mode
+- name: 刷新专用防火墙
+  ansible.builtin.systemd_service:
+    name: oci-wg-firewall
+    daemon_reload: true
+    state: restarted
+  when: not ansible_check_mode
+- name: 重启 WireGuard
+  ansible.builtin.systemd_service:
+    name: wg-quick@{{ wg_interface }}
+    state: restarted
+  when: not ansible_check_mode
+- name: 应用 BGP 增量配置
+  ansible.builtin.include_tasks: apply-bgp.yml
+  when: not ansible_check_mode
@@ -0,0 +1,8 @@
+---
+- name: 应用受管 FRR 配置片段
+  ansible.builtin.command: vtysh -f /etc/frr/oci-wireguard.vtysh
+  register: bgp_apply
+  failed_when: bgp_apply.rc != 0 or '% Unknown' in bgp_apply.stdout or '% Unknown' in bgp_apply.stderr
+
+- name: 保存完整运行配置以便重启恢复
+  ansible.builtin.command: vtysh -c 'write memory'
@@ -0,0 +1,32 @@
+---
+- name: 安装 AMD DN42 loopback 地址启动单元
+  ansible.builtin.copy:
+    dest: /etc/systemd/system/dn42-loopback.service
+    mode: '0644'
+    content: |
+      [Unit]
+      Description=DN42 router loopback addresses
+      Before=frr.service
+      [Service]
+      Type=oneshot
+      ExecStart=/usr/sbin/ip address replace 172.21.111.162/32 dev lo
+      ExecStart=/usr/sbin/ip -6 address replace fdd0:98df:15b0::2/128 dev lo
+      RemainAfterExit=yes
+      [Install]
+      WantedBy=multi-user.target
+  register: dn42_loopback_unit
+
+- name: 启用 AMD DN42 loopback
+  ansible.builtin.systemd_service:
+    name: dn42-loopback
+    daemon_reload: true
+    enabled: true
+    state: "{{ 'restarted' if dn42_loopback_unit.changed else 'started' }}"
+  when: not ansible_check_mode
+
+- name: 开启路由器 IPv6 转发
+  ansible.posix.sysctl:
+    name: net.ipv6.conf.all.forwarding
+    value: '1'
+    sysctl_file: /etc/sysctl.d/90-dn42-forwarding.conf
+    sysctl_set: true
@@ -0,0 +1,163 @@
+---
+- name: 安装 WireGuard 与 FRR
+  ansible.builtin.apt:
+    name: [wireguard-tools, frr, iptables]
+    state: present
+    update_cache: true
+    cache_valid_time: 3600
+  register: packages
+  retries: 3
+  delay: 5
+  until: packages is succeeded
+
+- name: 创建 WireGuard 受限目录
+  ansible.builtin.file:
+    path: /etc/wireguard
+    state: directory
+    owner: root
+    group: root
+    mode: '0700'
+
+- name: 在站点本机生成私钥，永不复制到控制机
+  ansible.builtin.shell: 'umask 077; wg genkey > /etc/wireguard/{{ wg_interface }}.key'
+  args:
+    creates: '/etc/wireguard/{{ wg_interface }}.key'
+  no_log: true
+
+- name: 检查现有私钥
+  ansible.builtin.stat:
+    path: '/etc/wireguard/{{ wg_interface }}.key'
+  register: wg_key_file
+
+- name: 读取可交换的公钥
+  ansible.builtin.shell: 'wg pubkey < /etc/wireguard/{{ wg_interface }}.key'
+  register: wg_public_key
+  changed_when: false
+  check_mode: false
+  when: wg_key_file.stat.exists
+
+- name: 启用 BGP daemon，保留其他协议
+  ansible.builtin.lineinfile:
+    path: /etc/frr/daemons
+    regexp: '^bgpd='
+    line: bgpd=yes
+  notify: 重载 FRR daemons
+  when: not ansible_check_mode or not packages.changed
+
+- name: 确保 FRR 运行
+  ansible.builtin.systemd_service:
+    name: frr
+    enabled: true
+    state: started
+  when: not ansible_check_mode
+
+- name: 配置 DN42 路由器地址
+  ansible.builtin.include_tasks: dn42-loopback.yml
+  when: bgp_export6 is defined
+
+- name: 开启 IPv4 转发
+  ansible.posix.sysctl:
+    name: net.ipv4.ip_forward
+    value: '1'
+    sysctl_file: /etc/sysctl.d/90-oci-wireguard.conf
+    sysctl_set: true
+
+- name: 安装专用防火墙规则脚本
+  ansible.builtin.template:
+    src: firewall.sh.j2
+    dest: /usr/local/sbin/oci-wg-firewall
+    owner: root
+    group: root
+    mode: '0755'
+  notify: 刷新专用防火墙
+
+- name: 安装防火墙启动单元
+  ansible.builtin.copy:
+    dest: /etc/systemd/system/oci-wg-firewall.service
+    mode: '0644'
+    content: |
+      [Unit]
+      Description=OCI WireGuard scoped forwarding (no NAT)
+      After=network-pre.target
+      Before=wg-quick@{{ wg_interface }}.service
+      [Service]
+      Type=oneshot
+      ExecStart=/usr/local/sbin/oci-wg-firewall
+      RemainAfterExit=yes
+      [Install]
+      WantedBy=multi-user.target
+  notify: 刷新专用防火墙
+
+- name: 启动防火墙规则
+  ansible.builtin.systemd_service:
+    name: oci-wg-firewall
+    daemon_reload: true
+    enabled: true
+    state: started
+  when: not ansible_check_mode
+
+- name: 写入只含公钥的隧道配置
+  ansible.builtin.template:
+    src: wg.conf.j2
+    dest: '/etc/wireguard/{{ wg_interface }}.conf'
+    owner: root
+    group: root
+    mode: '0600'
+  when: wg_key_file.stat.exists and (hostvars[wg_peer_host].wg_key_file | default({"stat":{"exists":false}})).stat.exists
+  notify: 重启 WireGuard
+
+- name: 启动 WireGuard
+  ansible.builtin.systemd_service:
+    name: 'wg-quick@{{ wg_interface }}'
+    enabled: true
+    state: started
+  when: not ansible_check_mode
+
+- name: 写入受管 BGP 增量配置
+  ansible.builtin.template:
+    src: bgp.conf.j2
+    dest: /etc/frr/oci-wireguard.vtysh
+    owner: frr
+    group: frr
+    mode: '0640'
+  notify: 应用 BGP 增量配置
+  when: not ansible_check_mode or not packages.changed
+
+- name: 先完成配置变更再验证
+  ansible.builtin.meta: flush_handlers
+
+- name: 检查 WireGuard 对端握手
+  ansible.builtin.command: 'wg show {{ wg_interface }} latest-handshakes'
+  changed_when: false
+  register: wg_handshake
+  retries: 12
+  delay: 5
+  until: wg_handshake.stdout.split() | length == 2 and (wg_handshake.stdout.split()[-1] | int) > 0
+  when: not ansible_check_mode
+
+- name: 验证隧道互通
+  ansible.builtin.command: "{{ ('ping -6 -I ' ~ wg_interface ~ ' -c 3 -W 3 ' ~ bgp_transport_peer) if bgp_transport_peer is defined else ('ping -I ' ~ wg_interface ~ ' -c 3 -W 3 ' ~ wg_peer_address) }}"
+  changed_when: false
+  when: not ansible_check_mode
+
+- name: 验证 BGP 建邻并收到预期前缀数量
+  ansible.builtin.command: vtysh -c 'show bgp summary json'
+  changed_when: false
+  register: bgp_summary
+  retries: 12
+  delay: 5
+  until: >-
+    (bgp_summary.stdout | from_json).get('ipv4Unicast', {}).get('peers', {}).get(bgp_transport_peer | default(wg_peer_address), {}).get('state') == 'Established'
+    and (bgp_summary.stdout | from_json).get('ipv4Unicast', {}).get('peers', {}).get(bgp_transport_peer | default(wg_peer_address), {}).get('pfxRcd', 0) == bgp_import | length
+  when: not ansible_check_mode
+
+- name: 验证 IPv6 iBGP 建邻与前缀
+  ansible.builtin.command: vtysh -c 'show bgp summary json'
+  changed_when: false
+  register: bgp_summary6
+  retries: 12
+  delay: 5
+  until: >-
+    (bgp_summary6.stdout | from_json).get('ipv6Unicast', {}).get('peers', {}).get(bgp_transport_peer | default(wg_peer_ipv6), {}).get('state') == 'Established'
+    and (bgp_summary6.stdout | from_json).get('ipv6Unicast', {}).get('peers', {}).get(bgp_transport_peer | default(wg_peer_ipv6), {}).get('pfxRcd', 0) == bgp_import6 | length
+  when: not ansible_check_mode and bgp_import6 is defined
@@ -0,0 +1,80 @@
+{% set v4_peer = bgp_transport_peer | default(wg_peer_address) %}
+{% set v6_peer = bgp_transport_peer | default(wg_peer_ipv6 | default("")) %}
+! vtysh -f 使用配置模式，write memory 由独立 handler 执行。
+! 只重建本角色拥有的邻居和过滤器，保留既有 BGP/OSPF。
+router bgp {{ bgp_asn }}
+ no neighbor {{ v4_peer }}
+{% for peer in bgp_retired_peers | default([]) %}
+ no neighbor {{ peer }}
+{% endfor %}
+exit
+no ip prefix-list OCI-WG-IN
+no ip prefix-list OCI-WG-OUT
+{% for prefix in bgp_import %}
+ip prefix-list OCI-WG-IN seq {{ loop.index * 10 }} permit {{ prefix }}
+{% endfor %}
+{% for prefix in bgp_export + (bgp_summary | default([])) %}
+ip prefix-list OCI-WG-OUT seq {{ loop.index * 10 }} permit {{ prefix }}
+{% endfor %}
+router bgp {{ bgp_asn }}
+ bgp router-id {{ bgp_router_id }}
+ neighbor {{ v4_peer }} remote-as {{ bgp_peer_asn }}
+ neighbor {{ v4_peer }} description OCI-WireGuard
+ neighbor {{ v4_peer }} update-source {{ wg_interface }}
+{% if bgp_transport_peer is defined %}
+ neighbor {{ v4_peer }} interface {{ wg_interface }}
+ neighbor {{ v4_peer }} capability extended-nexthop
+{% endif %}
+ address-family ipv4 unicast
+{% for prefix in bgp_summary | default([]) %}
+  aggregate-address {{ prefix }}
+{% endfor %}
+{% for prefix in bgp_export %}
+  network {{ prefix }}
+{% endfor %}
+  neighbor {{ v4_peer }} activate
+  neighbor {{ v4_peer }} prefix-list OCI-WG-IN in
+  neighbor {{ v4_peer }} prefix-list OCI-WG-OUT out
+  neighbor {{ v4_peer }} maximum-prefix {{ bgp_import | length }}
+ exit-address-family
+exit
+! 仅为这些 BGP 路由选择本机业务 IP；转发报文源地址保持不变，不是 NAT。
+route-map OCI-WG-SOURCE permit 10
+ match ip address prefix-list OCI-WG-IN
+ set src {{ bgp_router_id }}
+exit
+route-map OCI-WG-SOURCE permit 100
+exit
+ip protocol bgp route-map OCI-WG-SOURCE
+
+{% if bgp_export6 is defined %}
+no ipv6 prefix-list OCI-WG6-IN
+no ipv6 prefix-list OCI-WG6-OUT
+{% for prefix in bgp_import6 %}
+ipv6 prefix-list OCI-WG6-IN seq {{ loop.index * 10 }} permit {{ prefix }}
+{% endfor %}
+{% for prefix in bgp_export6 + (bgp_summary6 | default([])) %}
+ipv6 prefix-list OCI-WG6-OUT seq {{ loop.index * 10 }} permit {{ prefix }}
+{% endfor %}
+router bgp {{ bgp_asn }}
+ neighbor {{ v6_peer }} remote-as {{ bgp_peer_asn }}
+ neighbor {{ v6_peer }} update-source {{ wg_interface }}
+{% if bgp_transport_peer is not defined %}
+ address-family ipv4 unicast
+  no neighbor {{ v6_peer }} activate
+ exit-address-family
+{% endif %}
+ address-family ipv6 unicast
+{% for prefix in bgp_summary6 | default([]) %}
+  aggregate-address {{ prefix }}
+{% endfor %}
+{% for prefix in bgp_export6 %}
+  network {{ prefix }}
+{% endfor %}
+  neighbor {{ v6_peer }} activate
+  neighbor {{ v6_peer }} prefix-list OCI-WG6-IN in
+  neighbor {{ v6_peer }} prefix-list OCI-WG6-OUT out
+  neighbor {{ v6_peer }} maximum-prefix {{ bgp_import6 | length }}
+ exit-address-family
+exit
+{% endif %}
@@ -0,0 +1,43 @@
+#!/bin/sh
+set -eu
+# 仅重建专用链，不保存/覆盖 Docker、k3s、Tailscale 或 OCI 的其他动态规则。
+for chain in OCI-WG-IN OCI-WG-FWD; do
+  iptables -w -nL "$chain" >/dev/null 2>&1 || iptables -w -N "$chain"
+  iptables -w -F "$chain"
+done
+iptables -w -A OCI-WG-IN -p udp --dport {{ wg_port }} -j ACCEPT
+{% for prefix in [wg_peer_address ~ '/32'] + bgp_import %}
+iptables -w -A OCI-WG-IN -i {{ wg_interface }} -s {{ prefix }} -j ACCEPT
+{% endfor %}
+{% for local_prefix in bgp_export %}
+{% for remote_prefix in bgp_import %}
+iptables -w -A OCI-WG-FWD -i {{ wg_interface }} -o {{ wg_lan_interface }} -s {{ remote_prefix }} -d {{ local_prefix }} -j ACCEPT
+iptables -w -A OCI-WG-FWD -i {{ wg_lan_interface }} -o {{ wg_interface }} -s {{ local_prefix }} -d {{ remote_prefix }} -j ACCEPT
+{% endfor %}
+{% endfor %}
+{% if dn42_external_interface is defined %}
+# 仅允许注册地址在内部隧道与外部 DN42 之间转发，保持无 NAT。
+iptables -w -A OCI-WG-FWD -i {{ wg_interface }} -o {{ dn42_external_interface }} -s {{ dn42_ipv4 }} -d 172.20.0.0/14 -j ACCEPT
+iptables -w -A OCI-WG-FWD -i {{ dn42_external_interface }} -o {{ wg_interface }} -s 172.20.0.0/14 -d {{ dn42_ipv4 }} -j ACCEPT
+{% endif %}
+iptables -w -A OCI-WG-FWD -i {{ wg_interface }} -j DROP
+iptables -w -A OCI-WG-FWD -o {{ wg_interface }} -j DROP
+iptables -w -C INPUT -j OCI-WG-IN 2>/dev/null || iptables -w -I INPUT 1 -j OCI-WG-IN
+iptables -w -C FORWARD -j OCI-WG-FWD 2>/dev/null || iptables -w -I FORWARD 1 -j OCI-WG-FWD
+
+{% if bgp_import6 is defined %}
+ip6tables -w -nL OCI-WG6-IN >/dev/null 2>&1 || ip6tables -w -N OCI-WG6-IN
+ip6tables -w -F OCI-WG6-IN
+ip6tables -w -A OCI-WG6-IN -i {{ wg_interface }} -s {{ dn42_ipv6 }} -j ACCEPT
+ip6tables -w -C INPUT -j OCI-WG6-IN 2>/dev/null || ip6tables -w -I INPUT 1 -j OCI-WG6-IN
+{% endif %}
+
+{% if dn42_external_interface is defined %}
+ip6tables -w -nL OCI-DN42-FWD >/dev/null 2>&1 || ip6tables -w -N OCI-DN42-FWD
+ip6tables -w -F OCI-DN42-FWD
+ip6tables -w -A OCI-DN42-FWD -i {{ wg_interface }} -o {{ dn42_external_interface }} -s {{ dn42_ipv6 }} -d fd00::/8 -j ACCEPT
+ip6tables -w -A OCI-DN42-FWD -i {{ dn42_external_interface }} -o {{ wg_interface }} -s fd00::/8 -d {{ dn42_ipv6 }} -j ACCEPT
+ip6tables -w -A OCI-DN42-FWD -i {{ dn42_external_interface }} -j DROP
+ip6tables -w -A OCI-DN42-FWD -o {{ dn42_external_interface }} -j DROP
+ip6tables -w -C FORWARD -j OCI-DN42-FWD 2>/dev/null || ip6tables -w -I FORWARD 1 -j OCI-DN42-FWD
+{% endif %}
@@ -0,0 +1,16 @@
+[Interface]
+Address = {{ wg_address }}{% if wg_ipv6_address is defined %}, {{ wg_ipv6_address }}, {{ wg_linklocal_address }}{% endif %}
+
+ListenPort = {{ wg_port }}
+MTU = {{ wg_mtu }}
+Table = off
+# 私钥在本机生成和读取；配置模板与控制机不保存私钥。
+PostUp = wg set %i private-key /etc/wireguard/{{ wg_interface }}.key
+
+[Peer]
+PublicKey = {{ hostvars[wg_peer_host].wg_public_key.stdout }}
+AllowedIPs = {{ ([wg_peer_address ~ '/32'] + bgp_import + (bgp_import6 | default([])) + (['fe80::/64'] if bgp_import6 is defined else [])) | join(', ') }}
+{% if wg_endpoint %}
+Endpoint = {{ wg_endpoint }}
+{% endif %}
+PersistentKeepalive = {{ wg_keepalive }}
@@ -0,0 +1,52 @@
+---
+- import_playbook: vyos.yml
+
+- name: 配置无 NAT 的 WireGuard 与 BGP 站点互联
+  hosts: wireguard_sites
+  become: true
+  strategy: linear
+  roles:
+    - wireguard_bgp
+
+- name: 为 OCI ARM 设置经 AMD 的站点回程，保留其余 Tailscale 路由
+  hosts: oci_routed_hosts
+  become: true
+  tasks:
+    - name: 安装三个目标网段的策略路由脚本
+      ansible.builtin.template:
+        src: templates/arm-routes.sh.j2
+        dest: /usr/local/sbin/oci-site-return-routes
+        mode: '0755'
+      notify: 更新 OCI ARM 回程
+
+    - name: 安装回程策略启动单元
+      ansible.builtin.copy:
+        dest: /etc/systemd/system/oci-site-return-routes.service
+        mode: '0644'
+        content: |
+          [Unit]
+          Description=Route homelab prefixes through OCI AMD rather than Tailscale
+          After=network-online.target
+          Wants=network-online.target
+          [Service]
+          Type=oneshot
+          ExecStart=/usr/local/sbin/oci-site-return-routes
+          RemainAfterExit=yes
+          [Install]
+          WantedBy=multi-user.target
+      notify: 更新 OCI ARM 回程
+
+    - name: 启用回程策略
+      ansible.builtin.systemd_service:
+        name: oci-site-return-routes
+        daemon_reload: true
+        enabled: true
+        state: started
+      when: not ansible_check_mode
+  handlers:
+    - name: 更新 OCI ARM 回程
+      ansible.builtin.systemd_service:
+        name: oci-site-return-routes
+        daemon_reload: true
+        state: restarted
+      when: not ansible_check_mode
@@ -0,0 +1,38 @@
+---
+- name: 备份升级前 FRR 配置（仅远端）
+  ansible.builtin.command: cp -a /etc/frr /var/backups/frr-before-dn42
+  args:
+    creates: /var/backups/frr-before-dn42
+- name: 安装 FRR 官方仓库签名密钥
+  ansible.builtin.get_url:
+    url: https://deb.frrouting.org/frr/keys.gpg
+    dest: /usr/share/keyrings/frrouting.gpg
+    mode: '0644'
+- name: 配置 FRR 10.7 官方仓库
+  ansible.builtin.copy:
+    dest: /etc/apt/sources.list.d/frr.list
+    mode: '0644'
+    content: |
+      deb [signed-by=/usr/share/keyrings/frrouting.gpg] https://deb.frrouting.org/frr noble frr-10.7
+  register: frr_repo
+- name: 安装支持 link-local peering 的固定 FRR 版本
+  ansible.builtin.apt:
+    name:
+      - frr=10.7.1-0~ubuntu24.04.1
+      - frr-pythontools=10.7.1-0~ubuntu24.04.1
+    update_cache: true
+    cache_valid_time: '{{ 0 if frr_repo.changed else 3600 }}'
+    dpkg_options: force-confdef,force-confold
+  register: frr_package
+  notify: 重启 FRR
+- name: 检查 FRR 后台进程是否仍引用旧二进制
+  ansible.builtin.shell: readlink /proc/$(cat /run/frr/bgpd.pid)/exe
+  changed_when: false
+  register: frr_running
+- name: 调度切换已升级的 FRR 进程
+  ansible.builtin.debug:
+    msg: 检查进程是否需要重启以使用已安装的 10.7.1
+  changed_when: "'(deleted)' in frr_running.stdout"
+  notify: 重启 FRR
+- name: 完成 FRR 升级
+  ansible.builtin.meta: flush_handlers
@@ -0,0 +1,9 @@
+#!/bin/sh
+set -eu
+# 5101..5103 保留给此互联，优先于 Tailscale 的 52 表（规则 5270）。
+# 主表仍使用 OCI 网关；VCN 路由表再将这三个前缀交给 AMD。
+{% for prefix in wg_home_prefixes %}
+if ! ip -4 rule show | grep -F 'to {{ prefix }} lookup main' >/dev/null; then
+  ip -4 rule add priority {{ 5100 + loop.index }} to {{ prefix }} lookup main
+fi
+{% endfor %}
@@ -0,0 +1,62 @@
+! Ansible 管理：首个 DN42 peer，单 IPv6 会话双 AFI。
+! 精确出口与地址范围入口；尚未接入注册表 ROA 校验。
+no ip prefix-list DN42-RB-IN
+ip prefix-list DN42-RB-IN seq 1 deny 172.22.166.0/24 le 32
+ip prefix-list DN42-RB-IN seq 5 deny 172.21.111.160/27 le 32
+ip prefix-list DN42-RB-IN seq 10 deny 10.0.0.0/24 le 32
+ip prefix-list DN42-RB-IN seq 20 deny 10.60.0.0/24 le 32
+ip prefix-list DN42-RB-IN seq 30 deny 10.61.0.0/24 le 32
+ip prefix-list DN42-RB-IN seq 40 deny 192.168.10.0/24 le 32
+ip prefix-list DN42-RB-IN seq 1001 permit 172.20.0.0/24 ge 28 le 32
+ip prefix-list DN42-RB-IN seq 1002 permit 172.21.0.0/24 ge 28 le 32
+ip prefix-list DN42-RB-IN seq 1003 permit 172.22.0.0/24 ge 28 le 32
+ip prefix-list DN42-RB-IN seq 1004 permit 172.23.0.0/24 ge 28 le 32
+ip prefix-list DN42-RB-IN seq 1100 permit 172.20.0.0/14 ge 21 le 29
+ip prefix-list DN42-RB-IN seq 2001 permit 10.100.0.0/14 le 32
+ip prefix-list DN42-RB-IN seq 2002 permit 10.127.0.0/16 le 32
+ip prefix-list DN42-RB-IN seq 2003 permit 10.0.0.0/8 ge 15 le 24
+ip prefix-list DN42-RB-IN seq 3001 permit 172.31.0.0/16 le 32
+ip prefix-list DN42-RB-IN seq 9999 deny 0.0.0.0/0 le 32
+ip prefix-list DN42-RB-OUT seq 10 permit 172.21.111.160/27
+no ipv6 prefix-list DN42-RB6-IN
+ipv6 prefix-list DN42-RB6-IN seq 5 deny fdd0:98df:15b0::/48 le 128
+ipv6 prefix-list DN42-RB6-IN seq 1001 permit fd00::/8 ge 44 le 64
+ipv6 prefix-list DN42-RB6-IN seq 9999 deny ::/0 le 128
+ipv6 prefix-list DN42-RB6-OUT seq 10 permit fdd0:98df:15b0::/48
+interface {{ dn42_interface }}
+exit
+router bgp 4242421811
+ no neighbor {{ dn42_peer_linklocal }}
+ neighbor {{ dn42_peer_linklocal }} remote-as {{ dn42_peer_asn }}
+ neighbor {{ dn42_peer_linklocal }} shutdown
+ neighbor {{ dn42_peer_linklocal }} interface {{ dn42_interface }}
+ neighbor {{ dn42_peer_linklocal }} update-source {{ dn42_interface }}
+ neighbor {{ dn42_peer_linklocal }} description RoutedBits-OSA1
+ neighbor {{ dn42_peer_linklocal }} capability extended-nexthop
+ neighbor {{ dn42_peer_linklocal }} timers connect 10
+ address-family ipv4 unicast
+  neighbor {{ dn42_peer_linklocal }} activate
+  neighbor {{ dn42_peer_linklocal }} prefix-list DN42-RB-IN in
+  neighbor {{ dn42_peer_linklocal }} prefix-list DN42-RB-OUT out
+  neighbor {{ dn42_peer_linklocal }} maximum-prefix 10000
+ exit-address-family
+ address-family ipv6 unicast
+  neighbor {{ dn42_peer_linklocal }} activate
+  neighbor {{ dn42_peer_linklocal }} prefix-list DN42-RB6-IN in
+  neighbor {{ dn42_peer_linklocal }} prefix-list DN42-RB6-OUT out
+  neighbor {{ dn42_peer_linklocal }} maximum-prefix 10000
+ exit-address-family
+ no neighbor {{ dn42_peer_linklocal }} shutdown
+exit
+! 保留既有业务源地址规则，在其后为 DN42 路由选择注册地址；不是 NAT。
+route-map OCI-WG-SOURCE permit 20
+ match ip address prefix-list DN42-RB-IN
+ set src 172.21.111.162
+exit
+route-map DN42-SOURCE6 permit 10
+ match ipv6 address prefix-list DN42-RB6-IN
+ set src fdd0:98df:15b0::2
+exit
+route-map DN42-SOURCE6 permit 100
+exit
+ipv6 protocol bgp route-map DN42-SOURCE6
@@ -0,0 +1,14 @@
+set service dns forwarding listen-address '192.168.10.2'
+set service dns forwarding source-address '172.21.111.161'
+set service dns forwarding source-address 'fdd0:98df:15b0::1'
+set service dns forwarding no-serve-rfc1918
+{% for prefix in wg_home_prefixes %}
+set service dns forwarding allow-from '{{ prefix }}'
+{% endfor %}
+{% for zone in dn42_dns_zones %}
+set service dns forwarding domain {{ zone }} recursion-desired
+set service dns forwarding domain {{ zone }} addnta
+{% for server in dn42_dns_servers %}
+set service dns forwarding domain {{ zone }} name-server '{{ server }}'
+{% endfor %}
+{% endfor %}
@@ -0,0 +1,10 @@
+{% for lan in dn42_ra_lans %}
+set interfaces ethernet {{ lan.interface }} address '{{ lan.address }}'
+set service router-advert interface {{ lan.interface }} default-lifetime '0'
+set service router-advert interface {{ lan.interface }} interval min '10'
+set service router-advert interface {{ lan.interface }} interval max '30'
+set service router-advert interface {{ lan.interface }} prefix {{ lan.prefix }} preferred-lifetime '14400'
+set service router-advert interface {{ lan.interface }} prefix {{ lan.prefix }} valid-lifetime '86400'
+set service router-advert interface {{ lan.interface }} route fd00::/8 route-preference 'medium'
+set service router-advert interface {{ lan.interface }} route fd00::/8 valid-lifetime '180'
+{% endfor %}
@@ -0,0 +1,12 @@
+source /opt/vyatta/etc/functions/script-template
+if /bin/cli-shell-api existsActive interfaces wireguard wg42 private-key; then
+  echo KEY_EXISTS
+  builtin exit 0
+fi
+configure
+set interfaces wireguard wg42 address '10.255.254.2/30'
+set interfaces wireguard wg42 private-key "$(wg genkey)"
+commit || builtin exit 1
+save || builtin exit 1
+exit
+echo KEY_CREATED
@@ -0,0 +1,84 @@
+set interfaces wireguard wg42 description 'OCI AMD / DN42 internal transport'
+set interfaces wireguard wg42 address '172.21.111.161/32'
+set interfaces wireguard wg42 address 'fdd0:98df:15b0:ffff::2/64'
+set interfaces wireguard wg42 mtu '1380'
+set interfaces wireguard wg42 port '51820'
+set interfaces wireguard wg42 peer amd address '129.225.176.134'
+set interfaces wireguard wg42 peer amd port '51820'
+set interfaces wireguard wg42 peer amd public-key '{{ hostvars.oci_amd.wg_public_key.stdout | trim }}'
+set interfaces wireguard wg42 peer amd persistent-keepalive '25'
+set interfaces wireguard wg42 peer amd allowed-ips '10.255.254.1/32'
+set interfaces wireguard wg42 peer amd allowed-ips '10.0.0.0/24'
+set interfaces wireguard wg42 peer amd allowed-ips '172.21.111.162/32'
+set interfaces wireguard wg42 peer amd allowed-ips 'fdd0:98df:15b0::/48'
+set interfaces loopback lo address 'fdd0:98df:15b0::1/128'
+set protocols static route 172.21.111.160/27 blackhole distance '254'
+set protocols static route6 fdd0:98df:15b0::/48 blackhole distance '254'
+set protocols bgp system-as '{{ dn42_asn }}'
+set protocols bgp parameters router-id '172.21.111.161'
+{% for p in ['10.0.0.0/24', '172.21.111.162/32', '172.20.0.0/14'] %}
+set policy prefix-list OCI-SITE-IN rule {{ loop.index * 10 }} action 'permit'
+set policy prefix-list OCI-SITE-IN rule {{ loop.index * 10 }} prefix '{{ p }}'
+{% endfor %}
+{% for p in wg_home_prefixes + [dn42_ipv4] %}
+set protocols bgp address-family ipv4-unicast network '{{ p }}'
+set policy prefix-list OCI-SITE-OUT rule {{ loop.index * 10 }} action 'permit'
+set policy prefix-list OCI-SITE-OUT rule {{ loop.index * 10 }} prefix '{{ p }}'
+{% endfor %}
+set protocols bgp address-family ipv6-unicast network '{{ dn42_ipv6 }}'
+set policy prefix-list6 OCI-SITE6-IN rule 10 action 'permit'
+set policy prefix-list6 OCI-SITE6-IN rule 10 prefix 'fdd0:98df:15b0::2/128'
+set policy prefix-list6 OCI-SITE6-OUT rule 10 action 'permit'
+set policy prefix-list6 OCI-SITE6-OUT rule 10 prefix '{{ dn42_ipv6 }}'
+set policy prefix-list OCI-TO-OSPF rule 10 action 'permit'
+set policy prefix-list OCI-TO-OSPF rule 10 prefix '10.0.0.0/24'
+set policy route-map OCI-TO-OSPF rule 10 action 'permit'
+set policy route-map OCI-TO-OSPF rule 10 match ip address prefix-list 'OCI-TO-OSPF'
+set protocols ospf redistribute bgp route-map 'OCI-TO-OSPF'
+set protocols ospf redistribute bgp metric-type '1'
+set policy prefix-list DN42-TO-OSPF rule 10 action 'permit'
+set policy prefix-list DN42-TO-OSPF rule 10 prefix '{{ dn42_ipv4 }}'
+set policy route-map DN42-TO-OSPF rule 10 action 'permit'
+set policy route-map DN42-TO-OSPF rule 10 match ip address prefix-list 'DN42-TO-OSPF'
+set protocols ospf redistribute static route-map 'DN42-TO-OSPF'
+set protocols ospf redistribute static metric-type '1'
+set interfaces wireguard wg42 peer amd allowed-ips 'fe80::/64'
+
+set interfaces wireguard wg42 peer amd allowed-ips '172.20.0.0/14'
+set interfaces wireguard wg42 peer amd allowed-ips 'fd00::/8'
+set policy prefix-list6 OCI-SITE6-IN rule 20 action 'permit'
+set policy prefix-list6 OCI-SITE6-IN rule 20 prefix 'fd00::/8'
+set policy prefix-list OCI-TO-OSPF rule 20 action 'permit'
+set policy prefix-list OCI-TO-OSPF rule 20 prefix '172.20.0.0/14'
+
+set interfaces wireguard wg42 address 'fe80::1811:1/64'
+set protocols bgp neighbor fe80::1811:2 remote-as '{{ dn42_asn }}'
+set protocols bgp neighbor fe80::1811:2 description 'OCI AMD internal MP-BGP'
+set protocols bgp neighbor fe80::1811:2 interface source-interface 'wg42'
+set protocols bgp neighbor fe80::1811:2 update-source 'fe80::1811:1'
+set protocols bgp neighbor fe80::1811:2 capability extended-nexthop
+set protocols bgp neighbor fe80::1811:2 address-family ipv4-unicast prefix-list import 'OCI-SITE-IN'
+set protocols bgp neighbor fe80::1811:2 address-family ipv4-unicast prefix-list export 'OCI-SITE-OUT'
+set protocols bgp neighbor fe80::1811:2 address-family ipv6-unicast prefix-list import 'OCI-SITE6-IN'
+set protocols bgp neighbor fe80::1811:2 address-family ipv6-unicast prefix-list export 'OCI-SITE6-OUT'
+
+{% for path in vyos_retired_paths %}
+{% if vyos_retired_present.results[loop.index0].rc == 0 %}
+delete {{ path }}
+{% endif %}
+{% endfor %}
+set nat source rule 18100 description 'Exclude local DN42 allocation'
+set nat source rule 18100 outbound-interface name 'wg42'
+set nat source rule 18100 destination address '172.21.111.160/27'
+set nat source rule 18100 exclude
+{% for prefix in wg_home_prefixes %}
+set nat source rule {{ 18100 + loop.index * 10 }} description 'LAN to DN42 masquerade'
+set nat source rule {{ 18100 + loop.index * 10 }} outbound-interface name 'wg42'
+set nat source rule {{ 18100 + loop.index * 10 }} source address '{{ prefix }}'
+set nat source rule {{ 18100 + loop.index * 10 }} destination address '172.20.0.0/14'
+set nat source rule {{ 18100 + loop.index * 10 }} translation address 'masquerade'
+{% endfor %}
+set policy route-map OCI-MP-IN rule 10 action 'permit'
+set policy route-map OCI-MP-IN rule 10 set ipv6-next-hop prefer-global
+set protocols bgp neighbor fe80::1811:2 address-family ipv4-unicast route-map import 'OCI-MP-IN'
+set protocols bgp neighbor fe80::1811:2 address-family ipv6-unicast route-map import 'OCI-MP-IN'
@@ -0,0 +1,84 @@
+---
+- name: 读取 AMD 的现有 WireGuard 公钥
+  hosts: oci_amd
+  become: true
+  gather_facts: false
+  tasks:
+    - name: 仅交换公钥
+      ansible.builtin.shell: wg pubkey < /etc/wireguard/wg-oci.key
+      register: wg_public_key
+      changed_when: false
+      check_mode: false
+
+- name: 配置 VyOS 站点与 DN42 内部路由
+  hosts: site_routers
+  gather_facts: false
+  vars:
+    vyos_retired_paths:
+      - interfaces wireguard wg42 address 10.255.254.2/30
+      - interfaces loopback lo address 172.21.111.161/32
+      - protocols bgp neighbor 10.255.254.1
+      - protocols bgp neighbor fdd0:98df:15b0:ffff::1
+  tasks:
+    - name: 检查 VyOS 是否已有 WireGuard 私钥，仅返回存在状态
+      ansible.builtin.command:
+        argv: [ssh, -o, BatchMode=yes, -o, ConnectTimeout=10, '[email protected]', /bin/cli-shell-api, existsActive, interfaces, wireguard, wg42, private-key]
+      delegate_to: localhost
+      vars:
+        ansible_connection: local
+        ansible_python_interpreter: /usr/bin/python3
+      register: vyos_key_present
+      changed_when: false
+      failed_when: vyos_key_present.rc not in [0, 1]
+      check_mode: false
+
+    - name: 首次在 VyOS 本机生成并保存私钥，控制机不接收私钥
+      ansible.builtin.command:
+        argv: [ssh, -o, BatchMode=yes, -o, ConnectTimeout=10, '[email protected]', /bin/vbash, -s]
+        stdin: "{{ lookup('template', 'templates/vyos-key-bootstrap.vbash.j2') }}"
+      delegate_to: localhost
+      vars:
+        ansible_connection: local
+        ansible_python_interpreter: /usr/bin/python3
+      no_log: true
+      register: vyos_key_bootstrap
+      changed_when: true
+      when: not ansible_check_mode and vyos_key_present.rc == 1
+
+    - name: 读取 VyOS WireGuard 公钥
+      vyos.vyos.vyos_command:
+        commands: show interfaces wireguard wg42 public-key
+      register: vyos_wg_public
+      changed_when: false
+      when: not ansible_check_mode
+
+    - name: 准備 Linux 端需要的公钥事实
+      ansible.builtin.set_fact:
+        wg_public_key:
+          stdout: '{{ vyos_wg_public.stdout[0] | trim }}'
+        wg_key_file:
+          stat:
+            exists: true
+      when: not ansible_check_mode
+
+    - name: 检查待退役的旧地址和 BGP 邻居是否存在
+      ansible.builtin.command:
+        cmd: 'ssh -o BatchMode=yes [email protected] /bin/cli-shell-api existsActive {{ item }}'
+      loop: '{{ vyos_retired_paths }}'
+      delegate_to: localhost
+      vars:
+        ansible_connection: local
+        ansible_python_interpreter: /usr/bin/python3
+      register: vyos_retired_present
+      changed_when: false
+      failed_when: vyos_retired_present.rc not in [0, 1]
+      check_mode: false
+
+    - name: 应用 VyOS 双栈 WireGuard、iBGP 与精确路由过滤
+      vyos.vyos.vyos_config:
+        lines: "{{ lookup('template', 'templates/vyos-site.conf.j2').splitlines() | map('trim') | reject('equalto', '') | list }}"
+        save: true
+        comment: Ansible OCI WireGuard DN42 preparation
+      register: vyos_site_config
+      changed_when: (vyos_site_config.commands | default([]) | length) > 0
+      no_log: true