Newsgroup: it.comp.os.linux.sys
Titolo: iptables ed ip6tables

C'è modo di uniformare le regole del netfilter oppure ovunque aggiungo un ipv6 devo poi riconfigurare anche l'intero firewall per il v6?
 
Esempio:
 
ip6tables -L -n
mi dice che in input è tutto accept
mentre iptables mi dice che ci son le mie regole (ovviamente).
 
Se uno si collega in v6 al server, bypasserà il filtro netfilter v4 e quindi sarà tutto in accept ?
 
No perchè riconfigurare tutti i firewall è un bel calvario...

 No perch� riconfigurare tutti i firewall � un bel calvario...
 
Non vedo alternative... Gli indirizzi sono comunque differenti...
 
Ciao
Luca Bertoncello
(
luca...@lucabert.de
)
 
-- 
 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it
 
 
 

 Proprio cosi'...
 
 
 
Oh, cazzo!
Si può dire?

 No perchï¿œ riconfigurare tutti i firewall ï¿œ un bel calvario...
 
Installi shorewall e shorewall6. Quindi se configuri in modo identico le
zone e sei capace di usare correttamente i parametri in params e non fai
uso di dnat frammiste alle altre regole, puoi creare un file di regole
condiviso, incluso nel rules di base.
Cosï¿œ gestisci entrambi i firewall con un unico set di regole (dovrai
creare una action separata per le regole di DNAT o le regole specifiche
per i due firewall.
 
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left


 
si , si puo' dire :-(((
 

 per i due firewall.
 
Dovrei aver risolto, alla fin fine il ruleset è semplice, sono solo molti i server.
 
Però, una cosa non mi è chiara: nel log (ip6tables -A INPUT -j LOG --log-prefix "IN_V6: " se pingo il server da una rete esterna mi ritrovo come sorgente un IP non mio che inizia con fe80. Di conseguenza tutte le regole che filtrano tramite il mio ip sorgente non funzionano.
 
Chi diavolo è quel fe80 e perchè vedo quello invece dell'ip del mio server?
Premetto che la macchina in remoto è presso un provider olandese.

 Premetto che la macchina in remoto ï¿œ presso un provider olandese.
 
fe80/10 sono indirizzi link local... non puï¿œ essere che ti arrivino ping
da Internet con quegli indirizzi, perchï¿œ non sono ruotati.
 
Prova a pingare 
gw6.zipman.it
 


 Prova a pingare 
gw6.zipman.it
 
 
# ping6 
gw6.zipman.it
 
PING 
gw6.zipman.it
(
gw.zipman.it
) 56 data bytes
64 bytes from 
gw.zipman.it
: icmp_seq=1 ttl=55 time=37.2 ms
64 bytes from 
gw.zipman.it
: icmp_seq=2 ttl=55 time=37.3 ms
^C
--- 
gw6.zipman.it
 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1004ms
rtt min/avg/max/mdev = 37.289/37.303/37.318/0.193 ms

 Sep  3 19:16:35 ns3 kernel: [ 4501.714404] SSH_V6: IN=eth0 OUT= MAC=33:33:ff:00:00:01:00:d0:00:fc:30:00:86:dd SRC=fe80:0000:0000:0000:02d0:00ff:fefc:3000 DST=ff02:0000:0000:0000:0000:0001:ff00:0001 LEN=72 TC=224 HOPLIMIT=255 FLOWLBL=0 PROTO=ICMPv6 TYPE=135 CODE=0 
 
Non so se centra qualcosa, ma la loopback era giù.
Oggi mi son tagliato fuori configurando il firewall, quei somari del provider presso il quale ho il server han pensato bene di buttar giù tutte le interfacce di rete e rialzare solo la eth0.
 
Che gli venga la diarrea a squizzi.

 lui riprende a funzionare. La configurazione ï¿œ identica al v4. Boh.
 
La hai in INPUT la regola di ACCEPT dello stato ESTABLISHED,RELATED?


  SRC=fe80:0000:0000:0000:02d0:00ff:fefc:3000 DST=ff02:0000:0000:0000:0000:0001:ff00:0001 [...] PROTO=ICMPv6 TYPE=135 CODE=0 
 
 
Stai segando i Router Advertisement (ICMPv6, type 135) del tuo gateway.
Nota che il source � un link local, il destination un multicast.
 
 
Come regola generale, evita come la peste di metterti a filtrare ICMPv6
finch� di IPv6 non sai vita morte e miracoli: fa diverse cose in pi� di
ICMPv4, e a filtrarlo rischi di farti male.
 
(inoltre, i meccanismi di conntrack per roba ICMP che in v4 � RELATED in
v6 scricchiola ancora un po' quindi non farci troppo affidamento...)

 La hai in INPUT la regola di ACCEPT dello stato ESTABLISHED,RELATED?
 
Si, certo.

 v6 scricchiola ancora un po' quindi non farci troppo affidamento...)
 
Uhm, e quindi come si può fare per accettare tutto ciò che è related senza aprire al mondo indiscriminatamente?

 senza aprire al mondo indiscriminatamente?
 
Non indiscriminatamente tutto. Solo ICMP... ;-)

 Non indiscriminatamente tutto. Solo ICMP... ;-)
 
Quindi RELATED + ICMP basta ed avanza in v6?

 Nota che il source è un link local, il destination un multicast.
 
Hai fatto bingo.
Mettendo questa:
 
-A INPUT -p ipv6-icmp -j ACCEPT
 
come prima regola, subito dopo la policy di default della catena, ha ripreso a funzionare (ovviamente dopo aver tirato su la loopback che un somaro mi aveva abbattuto senza dirlo)

 Hint?
 
http://lists.cluenet.de/mailman/listinfo/ipv6-ops
 
 
come prima scelta
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/