Securitatea rețelei: întărirea IPv6 pe serverul Ubuntu?

Sunt familiarizat cu întărirea IPv4 pe serverul Ubuntu, dar când folosesc aceleași reguli pentru IPv6 cu ip6tables, conectivitatea IPv6 se pierde, rezultând în Destinație inaccesabilă: Adresă inaccesabilă erori în timpul ping-ului. Ați putea, vă rog, să ne sfătuiți cum să remediați această problemă? Logica mea este următoarea:

#IPv6
#Resetați toate regulile (F) și lanțurile (X)
ip6tables -F
ip6tables -X

#Forțați verificarea pachetelor SYN
ip6tables -A INTRARE -p tcp ! --syn -m stare --state NEW -j DROP
#Aruncă pachetele de Crăciun
ip6tables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
#Drop pachete nule
ip6tables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
# Aruncă pachetele primite cu fragmente
#ip6tables -A INPUT -f -j DROP #acest lucru nu funcționează cu adevărat ca în iptables

#Reduceți traficul 
ip6tables -t filtru -P INPUT DROP
ip6tables -t filtru -P FORWARD DROP
ip6tables -t filtru -P OUTPUT DROP
#Păstrează-te stabilit
ip6tables -A INPUT -m stare --state RELATED,STABLISHED -j ACCEPT
ip6tables -A OUTPUT -m stare --state RELATED,STABLISHED -j ACCEPT
#Acceptă loopback
ip6tables -t filter -A INPUT -i lo -j ACCEPT
ip6tables -t filter -A OUTPUT -o lo -j ACCEPT

#ICMP
ip6tables -t filtru -A INTRARE -p icmp -j ACCEPT
ip6tables -t filter -A OUTPUT -p icmp -j ACCEPT

#ServiceX
ip6tables -t filter -A DESTINATION -p PROTOCOL --dport PORT -j ACCEPT
#ServiciulY
ip6tables -t filter -A DESTINATION -p PROTOCOL --dport PORT -j ACCEPT
#ServiceZ
ip6tables -t filter -A DESTINATION -p PROTOCOL --dport PORT -j ACCEPT
...

Exemplu pentru serverul ssh, deși nu folosesc niciodată portul implicit 22...

#SSH
ip6tables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
ip6tables -t filter -A OUTPUT -p tcp --dport 22 -j ACCEPT

Scriptul este făcut executabil, deci rulează prin reporniri în /etc/init.d/scriptname. Ideea este de a bloca totul și de a permite doar ceea ce se știe efectiv să fie folosit de serviciile serverului. O abordare mai bună, vă rog? De ce funcționează acest lucru în IPv4, dar nu și în IPv6? Când emit ip6tables -t filtru -P INTRARE ACCEPT funcționează, dar nu acesta este ideea. Cum securizez cu adevărat IPv6 pe serverele Ubuntu? Mulțumiri!

Pe baza funcționalității IPv6, trebuie să adăugați câteva reguli ACCEPT pentru ICMPv6, încercați acestea:

ip6tables -A INTRARE -p icmpv6 --icmpv6-tip 1 -j ACCEPT
ip6tables -A INTRARE -p icmpv6 --icmpv6-type 2 -j ACCEPT
ip6tables -A INTRARE -p icmpv6 --icmpv6-tip 3 -j ACCEPT
ip6tables -A INTRARE -p icmpv6 --icmpv6-type 4 -j ACCEPT
ip6tables -A FORWARD -i $WAN_IF -p icmpv6 --icmpv6-type 1 -j ACCEPT
ip6tables -A FORWARD -i $WAN_IF -p icmpv6 --icmpv6-type 2 -j ACCEPT
ip6tables -A FORWARD -i $WAN_IF -p icmpv6 --icmpv6-type 3 -j ACCEPT
ip6tables -A FORWARD -i $WAN_IF -p icmpv6 --icmpv6-type 4 -j ACCEPT
# Descoperirea routerului și a vecinilor, la intrare și la ieșire
ip6tables -A INTRARE -p icmpv6 --icmpv6-type 133 -j ACCEPT
ip6tables -A INTRARE -p icmpv6 --icmpv6-type 134 -j ACCEPT
ip6tables -A INTRARE -p icmpv6 --icmpv6-type 135 -j ACCEPT
ip6tables -A INTRARE -p icmpv6 --icmpv6-type 136 -j ACCEPT
ip6tables -A IEȘIRE -p icmpv6 --icmpv6-type 133 -j ACCEPT
ip6tables -A IEȘIRE -p icmpv6 --icmpv6-type 134 -j ACCEPT
ip6tables -A IEȘIRE -p icmpv6 --icmpv6-type 135 -j ACCEPT
ip6tables -A IEȘIRE -p icmpv6 --icmpv6-type 136 -j ACCEPT
# Solicitare ping către firewall din LAN și DMZ
ip6tables -O INTRARE! -i $WAN_IF -p icmpv6 --icmpv6-type 128 -j ACCEPT
# Solicitare ping de la firewall, LAN și DMZ
ip6tables -A IEȘIRE -p icmpv6 --icmpv6-type 128 -j ACCEPT
ip6tables -A ÎNTÂMPRE! -i $WAN_IF -p icmpv6 --icmpv6-type 128 -j ACCEPT

Mi s-a părut foarte util acest articol: IPv6-Tabele

ip6tables -t filtru -A INTRARE -p ipv6-icmp -j ACCEPT
ip6tables -t filtru -A IEȘIRE -p ipv6-icmp -j ACCEPT

în loc de

ip6tables -t filtru -A INTRARE -p icmp -j ACCEPT
ip6tables -t filter -A OUTPUT -p icmp -j ACCEPT

o rezolva.