Нужно ли отдельное правило iptables для адреса ipv6?

12

На моем сервере Debian 5.0 я установил некоторые правила iptables, как показано ниже:

ACCEPT     tcp  --  eee.fff.ggg.hhh      aaa.bbb.ccc.ddd     tcp dpt:80
DROP       tcp  --  0.0.0.0/0            aaa.bbb.ccc.ddd     tcp dpt:80

aaa.bbb.ccc.ddd - это ip-адрес моего сервера, а eee.fff.ggg.hhh - это другой сервер, которому разрешен доступ к порту. Я заметил, что на моем сервере есть настройка inet6 addr, а также netstat показывает, что apache2 прослушивает адрес tcp6:

tcp6       0      0 :::80                   :::*                    LISTEN

Нужно ли отдельное правило iptables для адреса ipv6? Если так, как я могу это сделать? Я ничего не знаю о ipv6. Благодарность! я должен сделать это? Если я не использую ip6tables, будет ли кто-то обходить правило iptable и подключаться к моему порту: 80 через адрес ipv6?

linux firewall iptables ipv6 Лонг Ченг
источник

Ответы:

11

iptables только фильтрует трафик IPv4. Настройка правил в iptables не затронет трафик ipv6, поэтому вам следует использовать ip6tables. По крайней мере, вы должны установить правила таблиц по умолчанию. Таким образом будет доступен только трафик, который вы явно разрешили.

TrueDuality
источник
Было бы лучше указать причину отказа по умолчанию, как это сделал Марчин в комментарии к своему ответу. Еще +1.
0xC0000022L
@ 0xC0000022L Вы запираете свой дом, когда выходите?
Денис Виталий
Гм @DenysVitali, возможно, небольшое недоразумение в том, что просить обоснование - это не то же самое, что игнорировать или не одобрять совет ?!
0xC0000022L
5

Вы хотите посмотреть на ip6tables. ЗДЕСЬ хороший короткий сценарий, который продемонстрировал бы некоторые основы

Marcin
источник
хм .. мой вопрос, я должен это сделать? Если я не использую ip6tables, будет ли кто-то обходить правило iptable и подключаться к моему порту: 80 через адрес ipv6?
Длинный Ченг
У вас IPv6 включен по умолчанию? Многие дистрибутивы в эти дни идут с включенным. Если да, то вы определенно хотите явно отфильтровать IPv6, поскольку IPv6 имеет много встроенных возможностей подключения, даже если вы его не настраиваете.
Марцин