Нужно ли отдельное правило iptables для адреса ipv6?

12

На моем сервере Debian 5.0 я установил некоторые правила iptables, как показано ниже:

ACCEPT     tcp  --  eee.fff.ggg.hhh      aaa.bbb.ccc.ddd     tcp dpt:80
DROP       tcp  --  0.0.0.0/0            aaa.bbb.ccc.ddd     tcp dpt:80

aaa.bbb.ccc.ddd - это ip-адрес моего сервера, а eee.fff.ggg.hhh - это другой сервер, которому разрешен доступ к порту. Я заметил, что на моем сервере есть настройка inet6 addr, а также netstat показывает, что apache2 прослушивает адрес tcp6:

tcp6       0      0 :::80                   :::*                    LISTEN

Нужно ли отдельное правило iptables для адреса ipv6? Если так, как я могу это сделать? Я ничего не знаю о ipv6. Благодарность! я должен сделать это? Если я не использую ip6tables, будет ли кто-то обходить правило iptable и подключаться к моему порту: 80 через адрес ipv6?

— Лонг Ченг
источник

11

iptables только фильтрует трафик IPv4. Настройка правил в iptables не затронет трафик ipv6, поэтому вам следует использовать ip6tables. По крайней мере, вы должны установить правила таблиц по умолчанию. Таким образом будет доступен только трафик, который вы явно разрешили.

— TrueDuality
источник

Было бы лучше указать причину отказа по умолчанию, как это сделал Марчин в комментарии к своему ответу. Еще +1.

— 0xC0000022L

@ 0xC0000022L Вы запираете свой дом, когда выходите?

— Денис Виталий

Гм @DenysVitali, возможно, небольшое недоразумение в том, что просить обоснование - это не то же самое, что игнорировать или не одобрять совет ?!

— 0xC0000022L

5

Вы хотите посмотреть на ip6tables. ЗДЕСЬ хороший короткий сценарий, который продемонстрировал бы некоторые основы

— Marcin
источник

хм .. мой вопрос, я должен это сделать? Если я не использую ip6tables, будет ли кто-то обходить правило iptable и подключаться к моему порту: 80 через адрес ipv6?

— Длинный Ченг

У вас IPv6 включен по умолчанию? Многие дистрибутивы в эти дни идут с включенным. Если да, то вы определенно хотите явно отфильтровать IPv6, поскольку IPv6 имеет много встроенных возможностей подключения, даже если вы его не настраиваете.

— Марцин