Je convertis mon bon vieux script de pare-feu iptables basé sur IPV4 et je voudrais remplacer les espaces d'adressage réservés de CLASSE A / B / C / D / E par ceux trouvés dans IPV6. Mon objectif est de refuser tous les paquets provenant de ces adresses, car ceux-ci ne peuvent pas atteindre le réseau public, ils doivent donc être usurpés.
Je les ai trouvés jusqu'à présent, y a-t-il d'autres espaces réservés, où aucune donnée ne pourrait arriver vers un serveur Web IPV6?
Boucle :: 1
Unicast mondial (actuellement) 2000 :: / 3
Unicast local unique FC00 :: / 7
Lien Local Unicast FE80 :: / 10
Multicast FF00 :: / 8
networking
iptables
ipv6
Jauzsika
la source
la source
Ne bloquez pas les adresses IPv6 arbitraires sans vraiment savoir ce que vous faites. Arrêtez, c'est une mauvaise pratique. Cela rompra certainement votre connectivité d'une manière inattendue. Un peu plus tard, vous verrez que votre IPv6 ne se comporte pas correctement, puis vous commencerez à blâmer que "IPv6 ne fonctionne pas", etc.
Quel que soit votre FAI, votre routeur de périphérie sait déjà quels paquets il peut vous envoyer et quels paquets accepter de vous (votre préoccupation concernant les adresses usurpées est totalement sans fondement), et votre système d'exploitation sait également quoi faire avec le reste. Tout ce que vous avez lu sur l'écriture de règles de pare-feu il y a environ 15 ans ne s'applique plus aujourd'hui.
De nos jours, chaque fois que vous recevez un paquet d'une adresse dans l'une de ces plages que vous avez l'intention de bloquer, il est beaucoup plus probable qu'il s'agisse d'un paquet légitime que vous bloquez incorrectement que toute sorte d'attaque. Les gens qui gèrent l'épine dorsale d'Internet ont beaucoup plus d'expérience que vous et ils ont déjà fait leurs devoirs correctement.
De plus, la liste des blocs réservés et ce à quoi s'attendre de chacun d'eux n'est pas définie sur le rock. Ils changent avec le temps. Quelles que soient vos attentes aujourd'hui ne seront plus les mêmes demain, alors votre pare-feu sera erroné et rompra votre connectivité.
Les pare-feu sont censés protéger et surveiller ce qui se trouve à l' intérieur de votre réseau. L'extérieur est une jungle en constante évolution.
la source
2000::/3manquer d'espace libre.Vous l'avez essentiellement. Il y avait aussi un RFC pour les adresses de site local dans fec0 :: / 10 mais cela est obsolète . L'idée avec IPv6 est que le NAT n'est plus nécessaire, donc même des adresses routables globalement peuvent être utilisées sur un réseau interne. Vous configurez simplement votre pare-feu pour bloquer, le cas échéant.
Soit dit en passant, même dans les classes IPv4-land ne sont plus mentionnées. CIDR est utilisé à la place.
la source