Dotaz: Ipv6 firewall obdobné chování mezi wan, lan, dmz jako na ipv4

[Zdenek]

Dobry den,

K stávající sítové konfiguraci NA IPV4 potřebuji přidat ipv6. Sít vypadá takto:

wan (veřejná ipv4) -   --------------  - lan (192.168.0.1/24)
212.x.x.x /29          *   router   * 
                       --------------  - dmz (192.168.1.1/24)

kde v dmz jsou dva servery a z routu jsou forwardované příslušné porty a lan netrba zvlášt komentovat.

na ipv4 je wan do lan blokovaný veškerý provoz kromě vybraných služeb, mezi lan a dmz je povoleno o něco více služeb.

Požadavek je zachovat stejnou logiku provozu mezi wan a dmz, wan a lan, lan a dmz. s tím rozdílem, že na ipv6 není NAT a samozřejmě nežádoucí provoz blokovat na routeru.

našel jsem sice pár ip6tables skritpů ale žádný neřeší podobnou konfiguraci, proto bych vás ipv6 guru poprosil o nástřel konfigurace paketového filtru a stavového fw.

diky

Odpovědi

[NN]

Pokud nechces ipv6 v LAN tak je to vycemene trivialni. Akorat tvoje DMZ nepouziva verejne adresy, tudiz to zadna DMZ neni,ale je pouze dalsi LAN.

Chces ipv6 pouze na WAN a DMZ(potom, bude lepsi udelat korektni DMZ, ktera pouziva verejne IP adresy) nebo i v LAN ?

NN

[Zdenek]

Dobry den,

Driv to bylo DMZ ale po odstehovani webu(neceho dalsiho) do hostingu a odebrani ip rozsahu tam zbyly poze dva specifiké servery kterým staci na IP4 ten NAT. ale na IPv6 bych chtel aby se to chovalo jako pravá DMZ.

u site oznacená LAN bude potreba taky casem umoznit ipv6 konektivitu jen s tim rozdilem ze se smer z internetu zarizne uz na routeru (jen navázané spojení a eventualne icmp).

Prave ohledne umozneni IPV6 pro lan me to nastaveni FW obzlaste trapi (nechci resit idividualne kazdy pocitac v siti.)

[NN]

Prave proto se Vas ptam.. (?)

NN

[zdenek]

No rekneme ze kdyz uz nejake ty ipv6 rozsahy mam a konfiguruji router tak bych chtel nakonfigurovat i tu cast pro lan na ipv6. Jen proste s ipv6 moc zkusenosti nemam tak bych chtel nejake rady na co si dat pozor (abych nenechal nejakou skulinku ale zase to bylo pouzitelné) samozrejmne ze implicitni politika vseho je reject/drop

[Sten]

Pokud je implicitní politika restriktivní (REJECT nebo DROP), pak se tam jenom změnou verze IP protokolu skulinka neobjeví Akorát pozor na INPUT pravidla, pokud to tam kontrolujete i podle IP adres, je vhodné povolit link-local adresy (ale jen pro INPUT, ne pro FORWARD)

[Sten]

Pro IPv6 to bude snadné, stačí jenom povolit pro DMZ ty porty, co jsou v IPv4 NATované, a zkopírovat ten zbytek.