Dotaz: IPtables IPv6, IPv4 prichozi komunikace pouze v ramci site

[otasomil]

Zdravim ve spolek. Po nejakej dobe nasazuji FW s pomoci iptables a ip6tables a mam tu jednu osvedcenou konfiguraci z minulosti a tak si rikam jestli je porad adekvatne pouzitelna, bezpecna apod... Nechci precejen IPv6 vynechat, uz je tu dlouho, jen nechci aby stroj byl dostupny z Internetu.
Cilem je aby PC (server) mohl kamkoliv ven po IPv4 a IPv6 avsak byl dostupny pouze z adres v siti v ktere se nachazi. Z poznamek mam toto:

# Sekce IPv6:
ip6tables -P INPUT DROP
ip6tables -A INPUT -i lo -j ACCEPT
ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
ip6tables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
ip6tables -A INPUT -m state --state INVALID -j DROP
ip6tables -A INPUT -s 2a02:339:2f:7a::/64 -j ACCEPT
ip6tables -A INPUT -j REJECT --reject-with icmp6-adm-prohibited



# Sekce IPv4:
iptables -P INPUT DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -j REJECT --reject-with icmp-admin-prohibited

S tim ze podleva techto pravidel bude server dostupny na IPv4 pouze z adres:

192.168.1.0 - 192.168.1.254

A na IPv6 pouze z tohoto rozsahu adres:

2a02:339:2f:7a:0000:0000:0000:0001 - 2a02:339:2f:7a:ffff:ffff:ffff:ffff

IPv6 adresa ze zamerne zmenena na nahodno. Diky za info, zkusenosti, elegantnejsi reseni.

---

---

Odpovědi

[Andrej]

IPtables IPv6…

<offtopic>Firewall v Linuxu se dnes jmenuje nftables. Použití různých legacy rozhraní je všeho všudy akumulace technologického dluhu.</offtopic>

Server nebude dostupný na zavřených portech, kde nic neposlouchá. To je sice chabá útěcha, pokud se něco uvnitř serveru nechová korektně, ale přece jenom bych doporučoval nepřeceňovat význam firewallu.

Pokud jde o klasický „trik“ s příjmem related, established a ničeho jiného, ten je popsaný třeba tady.

[otasomil]

Sken portu z VPS na onen server (IPv6) vypise na vsech portech FILTERED. S vychozim stavem ip6tables je vse CLOSE a porty kde opravdu neco posloucha (80, 443) jsou OPEN Asi to necham s nastavenim jak jsem uvedl v dotazu, zabranim tak zpristupneni jakekoli naslouchajici sluzby z Internetu.

[trekker.dk]

Škodíte ostatním. Děkujeme pěkně.

[otasomil]

Cili lepsi nastaveni?

[otasomil]

# Sekce IPv6:
ip6tables -P INPUT DROP
ip6tables -A INPUT -i lo -j ACCEPT
ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
ip6tables -A INPUT -m state --state ESTABLISHED -j ACCEPT
ip6tables -A INPUT -m state --state INVALID -j DROP
ip6tables -A INPUT -s 2a02:339:2f:7a::/64 -j ACCEPT
ip6tables -A INPUT -j DROP --reject-with icmp6-adm-prohibited

A obdobne i pro IPv4?

[trekker.dk]

Když už jste pevně rozhodnutý nepřekonat lenost a nepřepsat těch 6 pravidel pro nftables, tak ip6tables -A INPUT -j DROP . Žádné reject-with . Důvod máte v #4

[otasomil]

OK diky za info. Nftables prozkoumam. Aktualne davam iptables, ip6tables dle Vaseho doporuceni. Kdoviproc takovouto jak pisete nevhod konfiguraci napsal, mam to nekde z netu uz ani nevim odkud, je to uz hafo let.

[X]

Vzhledem k tomu, ze ten server neroutuje a je schovany v lokalni siti s nim stejne nikdo jiny nez lokalni zarizeni komunikovat ani nemuze..

[MP]

A vsiml jste si te ipv6 adresy?

[Peter Golis]

Veď písal že ju zmenil na náhodno.

[otasomil]

Veď písal že ju zmenil na náhodno.

Na nahodno jsem ji zmenil sem do poradny abyste na stroj nezacali tlouct protoze IPv6 adresy jsou globalne dostupne - router je tak nastaven. Jinak je tam samozrejme adresa z rozsahu co dava router.

[j]

Tak nejen ze tu blaboli Andrejko ... mame tu i dasiho, dokonalyho veleblba!

S libovolnym strojem v libovolny lokalni siti lze navazat bez dalsiho komunikaci. A to samozrejme i pres NAT.

2otasomil: Vazne tam chces ten reject? De o to, ze kdyz ti na ten stroj dorucim paket, tak posle, klidne na jinej stroj (v zavislosti na src) odpoved. Takze za DOSujiciho utocnika budes ty.

Ten reject ma smysl tak do vnitrni site, coz ale nechces, takze lepsi je nechat proste drop.

---

Dete s tim guuglem dopice!

[X]

S libovolnym strojem v libovolny lokalni siti lze navazat bez dalsiho komunikaci. A to samozrejme i pres NAT.

Mohl by si prosimte navazat komunikaci s mim strojem na 192.168.0.136. Necham tu otevrene SSH, uzivatel 'jecko', heslo bude 'jasne'..

[otasomil]

Globalni dostupnost stroje se toci okolo IPv6 protoze jeho IP6 je dosazitelna z Internetu a to nepotrebujeme proto chceme zabednit, zatlouct zvenci, v ramci LAN aby si komunikovali dle potreby. Chtel jsem se vyhnout nenadalemu zpristupneni systemu, uzivatelskych dat pouhym spustenim malinkeho httpd treba v Pythonu, Busyboxu apod (i pod beznym uzivatelem s portem nad 1024) nacez by mohlo byt snadno vse pristupne zvenci.
IPv4 ktere taky uvadim je spis pro uplnost.

[otasomil]

Netusim proc takovou konfiguraci s REJECT kdo napsal takze si nechavam poradit.

[otasomil]

ip6tables -A INPUT -j REJECT --reject-with icmp6-adm-prohibited

Tohle je někde na pomezí mezi zbytečné a škodlivé. Pokud nechcete, aby se s vámi komunikovalo s internetu, tak je IMO lepší to dropnout, protože a) reject je výchozí chování i bez firewallu a b) představte si, kdy na vás někdo bude útočit z IP adres, které mu nepatří - vaše reject pravidlo bude posílat ICMP pakety tomu nešťastníkovi, jehož IP adresy byly zneužity

Totéž pro IPv4

Ohledně RELATED vám bude kernel nadávat, že automatické přiřazování helperů je deprecated, tj. - pokud jsem to správně pochopil - že byste měl zadat specifická pravidla pro ty protokoly, u kterých chcete related spojení sledovat, příklad:

ct state related ct helper "ftp"

A jinak druhý hlas: přepište to pro nft. Používání iptables v tomhle případě nemá žádné výhody.