Ai-je besoin d'une règle iptables séparée pour l'adresse IPv6?

12

Sur mon serveur Debian 5.0, j'ai configuré quelques règles iptables comme ci-dessous:

ACCEPT     tcp  --  eee.fff.ggg.hhh      aaa.bbb.ccc.ddd     tcp dpt:80
DROP       tcp  --  0.0.0.0/0            aaa.bbb.ccc.ddd     tcp dpt:80

aaa.bbb.ccc.ddd est l'adresse IP de mon serveur et eee.fff.ggg.hhh est l'autre serveur qui est le seul autorisé à accéder au port. J'ai remarqué qu'il y a une configuration d'adr inet6 sur mon serveur, et aussi netstat montre que apache2 écoute sur l'adresse tcp6:

tcp6       0      0 :::80                   :::*                    LISTEN

Ai-je besoin d'une règle iptables séparée pour l'adresse IPv6? Si oui, comment puis-je le faire? Je ne connais rien à ipv6. Merci! dois-je le faire? Si je n'utilise pas ip6tables, quelqu'un contournera-t-il la règle iptable et se connectera-t-il à mon port: 80 via l'adresse ipv6?

— Long Cheng
source

11

iptables ne filtre que le trafic IPv4. La configuration des règles dans iptables ne touchera pas le trafic ipv6 et vous devez donc utiliser ip6tables. Au minimum, vous devez définir les règles de tables sur drop par défaut. De cette façon, seul le trafic que vous avez explicitement autorisé sera disponible.

— TrueDuality
source

Il aurait été plus agréable de donner une raison à la baisse par défaut, comme Marcin l'a fait dans un commentaire à sa réponse. Toujours +1.

— 0xC0000022L

@ 0xC0000022L Verrouillez-vous votre maison lorsque vous sortez?

— Denys Vitali

Uhm @DenysVitali peut-être un petit malentendu en ce sens que demander une justification n'est pas la même chose que de ne pas tenir compte ou de désapprouver un conseil?!

— 0xC0000022L

5

Vous voulez regarder ip6tables. ICI est un bon petit script qui ferait la démonstration de quelques bases

— Marcin
source

hmm..mon question est, dois-je le faire? Si je n'utilise pas ip6tables, quelqu'un contournera-t-il la règle iptable et se connectera-t-il à mon port: 80 via l'adresse ipv6?

— Long Cheng

L'IPv6 est-il activé par défaut? Beaucoup de distributions ces jours-ci sont activées. Si oui, alors vous voulez certainement filtrer IPv6 explicitement, car IPv6 a beaucoup de connectivité intégrée, même si vous ne le configurez pas.

— Marcin