Administrace komentářů

Kdyz jsem to zkousel u ipv6, tak u jedineho portu 80 mi to napsalo v port scanner inet aplikaci, ze je closed. Tam je jeste potreba v NAT - - Port Triggering trigrovat tento port?

IPv6 a NAT? To by bylo velmi neorthodoxní.

U IPv6 jde (v běžném případě) pouze o firewall, nikoliv o NAT. Ve většině případů bývá implicitně nastavený tak, že ven pouští všechno, ale dovnitř pouští pouze známá spojení navázaná zevnitř. To by asi tak odpovídalo, v řeči starých dobrých či špatných (jak se to vezme) ip6tables:

ip6tables -t filter -P FORWARD DROP 
ip6tables -t filter -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Cílem je buď zpřístupnit nějaký port daného zařízení ve vnitřní síti, nebo zpřístupnit dané zařízení úplně (tj. všechny porty a všechny protokoly). V ip6tables vypadají zmíněné možnosti takto:

ip6tables -A FORWARD -d 2:3:4:5:6:7:8:9 -p tcp --dport 80 -j ACCEPT
ip6tables -A FORWARD -d 2:3:4:5:6:7:8:9 -j ACCEPT

Obojí se dá v tom routeru nejspíš naklikat v nějaké tabulce ve webovém rozhraní. Zařízení ve vnitřní síti má vždy pouze veřejnou IPv6 adresu, na kterou se dá takto přímo routovat.

Pro routování z veřejné IPv4 adresy routeru na neveřejnou IPv4 adresu klienta ve vnitřní síti je skutečně potřeba nějaké DNAT pravidlo, ale otázka je, kdo by nějaké fosilní IPv4 chtěl. Kdyby snad přece jen někdo, vypadalo by třeba takto, opět se dvěma různě selektivními variantami:

iptables -t nat -A PREROUTING -i wan -d 1.2.3.4 -p tcp --dport 80 -j DNAT --to-destination 10.2.3.4
iptables -t nat -A PREROUTING -i wan -d 1.2.3.4 -j DNAT --to-destination 10.2.3.4

Router s veřejnou adresou 1.2.3.4 pak přeposílá pakety ze svého vnějšího rozhraní nějakému stroji ve vnitřní neveřejné IPv4 síti s adresou 10.2.3.4. Tohle se taky dá v routeru naklikat, ale navíc je pak nutné zařídit, aby měl příslušný stroj ve vnitřní síti vždy stejnou adresu, a to buď statickým přidělením z rozsahu, ze kterého nepřiděluje DHCP, nebo nastavením DHCP na routeru tak, aby k dané MAC adrese rezervoval vždy stejnou IP adresu.

Posledně jmenovaný problém (jako ostatně drtivá většina dalších problémů) u IPv6 zcela odpadá, protože pokud zařízení ve vnitřní síti netrvá striktně na privacy extensions (které se ale dají snadno vypnout nebo provozovat paralelně s implicitní EUI64 konfigurací), dostane vždy stejnou veřejnou IPv6 adresu, která je odvozená od MAC adresy. Žádné DHCP, žádné nastavování adres, žádný SNAT nebo DNAT. Prostě jen Internet jak má být.