Permiteți toate tipurile ICMPv6. Limitați viteza pachetelor ICMPv6 pe secundă, acolo unde este posibil, pentru a limita utilizarea resurselor pe dispozitivele IP. Aceasta este calea ușoară și nu este atât de nesigur pe cât pare.
Sau, metoda de cercetare este să citești Recomandări RFC 4890 pentru filtrarea mesajelor ICMPv6 în firewall-uri. Rețineți lipsa trebuie sa să fie abandonat recomandări pentru început.
„Link-global” nu este un termen standard. Cred că te referi la unicast (global). Spre deosebire de link-local sau multicast, care sunt în intervale definite. În plus, veți dori un firewall cu un concept de zonă. Deoarece probabil că doriți o politică diferită pentru prefixele dvs. față de internet, dar ambele sunt la nivel global de unicast.
RFC explică că multe dintre aceste mesaje locale nu necesită filtrare specială. Routerele compatibile nu vor redirecționa legătura din sursă locală. Gazdele conforme care primesc mesaje de descoperire a vecinilor vor confirma că nu au trecut printr-un router. Și multe firewall-uri sunt routere, așa că aveți nevoie de descoperirea vecinilor, inclusiv RA-uri, pentru a funcționa.
Ca exemplu practic, să aruncăm o privire rapidă asupra gestionării implicite ICMPv6 a unui router libre, OpenWrt. Această întrebare include mai mult sau mai puțin regulile implicite de firewall ICMPv6.
Zona „lan” implicit acceptă toți.Zona „wan” este implicit doar de ieșire. Firewall simplu tipic. Regulile de permitere provin din wan:
regula de configurare
numele opțiunii „Allow-ICMPv6-Input”
opțiunea src 'wan'
opțiunea proto 'icmp'
listă icmp_type 'echo-request'
listă icmp_type „echo-reply”
list icmp_type 'destination-unreachable'
list icmp_type 'pachet-prea-mare'
list icmp_type 'time-exceeded'
list icmp_type 'bad-header'
list icmp_type 'tip-antet-necunoscut'
list icmp_type 'router-solicitation'
list icmp_type 'neighbour-solicitation'
listă icmp_type 'router-publicitate'
list icmp_type 'vecin-reclamă'
limita opțiunii „1000/sec”
familia de opțiuni „ipv6”
opțiune țintă „ACCEPT”
regula de configurare
numele opțiunii „Allow-ICMPv6-Forward”
opțiunea src 'wan'
opțiunea dest '*'
opțiunea proto 'icmp'
listă icmp_type 'echo-request'
listă icmp_type „echo-reply”
list icmp_type 'destination-unreachable'
list icmp_type 'pachet-prea-mare'
list icmp_type 'time-exceeded'
list icmp_type 'bad-header'
list icmp_type 'tip-antet-necunoscut'
limita opțiunii „1000/sec”
familia de opțiuni „ipv6”
opțiune țintă „ACCEPT”
De cele mai multe ori nu trebuie abandonate tipurile, vezi secțiunea 4.4.1. Rețineți în „Allow-ICMPv6-Forward” tipurile de eroare și ecoul sunt întotdeauna permise, de intrare sau de ieșire.
regula de configurare
numele opțiunii „Allow-MLD”
opțiunea src 'wan'
opțiunea proto 'icmp'
opțiunea src_ip „fe80::/10”
listă icmp_type „130/0”
listă icmp_type „131/0”
listă icmp_type „132/0”
listă icmp_type „143/0”
familia de opțiuni „ipv6”
opțiune țintă „ACCEPT”
Mesaje de notificare a receptorului multicast cu link-local.
În general, permite totul în zona internă și permite erorile, ecoul, descoperirea vecinilor și ICMP legate de multicast să provină de pe internet.Nu permite altor lucruri precum SEND să traverseze internetul. Nu este singura modalitate de a filtra aceste lucruri, dar cel puțin nu rupe IPv6.
