¿Necesito una regla separada de iptables para la dirección ipv6?

12

En mi servidor Debian 5.0, configuré algunas reglas de iptables como a continuación:

ACCEPT     tcp  --  eee.fff.ggg.hhh      aaa.bbb.ccc.ddd     tcp dpt:80
DROP       tcp  --  0.0.0.0/0            aaa.bbb.ccc.ddd     tcp dpt:80

aaa.bbb.ccc.ddd es la dirección IP de mi servidor, y eee.fff.ggg.hhh es el otro servidor que es el único al que se le permite acceder al puerto. Noté que hay una configuración inet6 addr en mi servidor, y también netstat muestra que apache2 está escuchando en la dirección tcp6:

tcp6       0      0 :::80                   :::*                    LISTEN

¿Necesito una regla separada de iptables para la dirección ipv6? Si es así, ¿cómo puedo hacerlo? No sé nada sobre ipv6. ¡Gracias! ¿Debo hacerlo? Si no uso ip6tables, ¿alguien omitirá la regla de iptable y se conectará a mi puerto 80 a través de la dirección ipv6?

linux firewall iptables ipv6 Largo cheng
fuente

Respuestas:

11

iptables solo filtra el tráfico IPv4. La configuración de reglas en iptables no tocará el tráfico de ipv6 y, por lo tanto, debe usar ip6tables. Como mínimo, debe establecer las reglas de las tablas en drop predeterminado. De esa forma, solo estará disponible el tráfico que haya permitido explícitamente.

TrueDuality
fuente
Hubiera sido mejor dar una razón para la caída predeterminada, como Marcin hizo en un comentario a su respuesta. Todavía +1.
0xC0000022L
@ 0xC0000022L ¿Bloqueas tu casa cuando sales?
Denys Vitali
Uhm @DenysVitali, tal vez un pequeño malentendido en el hecho de que pedir una justificación no es lo mismo que ignorar o desaprobar un consejo.
0xC0000022L
5

Desea mirar ip6tables. AQUÍ hay un buen guión corto que demostraría algunos conceptos básicos

Marcin
fuente
hmm ... mi pregunta es, ¿debo hacerlo? Si no uso ip6tables, ¿alguien omitirá la regla de iptable y se conectará a mi puerto 80 a través de la dirección ipv6?
Long Cheng
¿Tiene IPv6 habilitado por defecto? Muchas distribuciones en estos días vienen con esto habilitado. En caso afirmativo, definitivamente desea filtrar IPv6 explícitamente, ya que IPv6 tiene una gran cantidad de conectividad incorporada, incluso si no lo configura.
Marcin