Preciso de uma regra separada de iptables para o endereço ipv6?

12

No meu servidor debian 5.0, eu configurei algumas regras do iptables como abaixo:

ACCEPT     tcp  --  eee.fff.ggg.hhh      aaa.bbb.ccc.ddd     tcp dpt:80
DROP       tcp  --  0.0.0.0/0            aaa.bbb.ccc.ddd     tcp dpt:80

aaa.bbb.ccc.ddd é o endereço IP do meu servidor e eee.fff.ggg.hhh é o outro servidor, que é o único permitido a acessar a porta. Percebi que há a configuração do inet6 addr no meu servidor, e também o netstat mostra que o apache2 está escutando no endereço tcp6:

tcp6       0      0 :::80                   :::*                    LISTEN

Preciso de uma regra separada de iptables para o endereço ipv6? Se sim, como posso fazer isso? Não sei nada sobre o ipv6. Obrigado! devo fazer isso? Se eu não usar o ip6tables, alguém ignorará a regra iptable e se conectará à minha porta: 80 através do endereço ipv6?

linux firewall iptables ipv6 Long Cheng
fonte

Respostas:

11

O iptables apenas filtra o tráfego IPv4. A configuração de regras no iptables não afeta o tráfego do ipv6 e, portanto, você deve usar o ip6tables. No mínimo, você deve definir as regras da tabela como padrão. Dessa forma, apenas o tráfego que você permitiu explicitamente estará disponível.

TrueDuality
fonte
Teria sido melhor dar uma razão para a queda padrão, como Marcin fez em um comentário à sua resposta. Ainda +1.
0xC0000022L 07/01
@ 0xC0000022L Você tranca sua casa quando sai?
Denys Vitali
Uhm @DenysVitali talvez um pouco de mal-entendido em que pedir uma justificativa não seja o mesmo que desconsiderar ou desaprovar um conselho ?!
0xC0000022L
5

Você quer olhar para ip6tables. AQUI é um bom script curto que demonstraria alguns conceitos básicos

Marcin
fonte
hmm..minha pergunta é, devo fazê-lo? Se eu não usar o ip6tables, alguém ignorará a regra iptable e se conectará à minha porta: 80 através do endereço ipv6?
Long Cheng
Você tem o IPv6 ativado por padrão? Hoje em dia, muitas distros vêm com o recurso ativado. Se sim, você definitivamente deseja filtrar o IPv6 explicitamente, pois o IPv6 possui muita conectividade interna, mesmo que você não a configure.
Marcin