IPv6所有者の責任は何ですか？

思い出に残る過去のためにコンシューマグレードのルーターの後ろに住んでいて、私はソフトウェアファイアウォールでそれらを管理しなければならない代わりに、必要なときにポートを転送する負担を負ったという点でNATの副作用を当然受けました。

IPv6で解決するアドレス変換の問題がなく、それでもポートを使用している場合、これを管理するのは私の責任なのですか？ IPv6の世界でプロービングトラフィックを自動的に偏向させるものは何ですか？

RPDやSSHリクエストをブロックするようなことを積極的に防ごうとしなければならないのでしょうか。それとも、最新のOSが最新のものであることに自信を持って考えるべきではないでしょうか。

ISPがIPv6を提供している場合、それが有効になる前に平均的なネチズンによって理解される必要がありますか？

ここ10年間の大部分でIPv6を使用し、その変化を見守ってきたので、私はこれについて少し見通しがあります。

ここで最も重要な点はこれです： NATはファイアウォールではありません。 これらは2つのまったく異なるものです。 Linuxでは、ファイアウォールコードの一部として実装されることがありますが、これは実装の詳細に過ぎず、他のオペレーティングシステムでは必ずしもそうとは限りません。

あなたのホームネットワークを保護しているルータ内のものが ファイアウォール そしてNATではなく、それから残りは決まっている。

残りの質問に答えるために、実際のIPv6ルーターファームウェア、OpenWrtバージョン14.07 Barrier Breakerを見てみましょう。このルーターでは、IPv6はデフォルトで有効になっており、プレフィックス委任付きのDHCPv6を使用してそのまま使用できます。これは、ISPが顧客にアドレススペースを割り当てる最も一般的な方法です。

OpenWrtのファイアウォール設定は、他の適切なファイアウォールと同様に、デフォルトですべての受信トラフィックをブロックします。他のほとんどすべてのルーターが長年に渡って持っているように、それはNATされたIPv4接続のためにポート転送規則を設定する方法を含みます。それはまたのための交通規則セクションを持っています 許可 転送される特定のトラフィックこれは、インバウンドIPv6トラフィックを許可するために代わりに使用するものです。

私がIPv6をサポートしているのを見たことがあるほとんどのホームルーターはデフォルトでファイアウォールのインバウンドIPv6トラフィックも持っています。しかし、私は実際には つかいます 任意のホームルーターの工場ファームウェア それよりずっと良い それは私に影響を与えたことはない。

確かに、多くの人が現在IPv6を使用しており、これが事実であることをまったく知りません。彼らのISPがそれを可能にしたとき、彼らのホームルーターはDHCPv6応答を拾い、アドレスとJust Workedすべてをプロビジョニングしました。私が/ 64以上を必要としていなかったなら、私はただゼロ設定でそれを差し込むことができたかもしれません。もっと簡単なプレフィックス委任を取得するには、1つ変更を加える必要がありました。

今日のIPv4インターネット上にシステムがある場合、さまざまなポートであらゆる種類のインバウンド接続を試み、既知の脆弱性やブルートフォースパスワードを悪用しようとします。 IPv4アドレスの範囲は十分に小さいため、1日以内に全体をスキャンできます。しかし、IPv6では、ほぼ10年間で私は 決して そのような接続試行がどのポートでも見られました。アドレスのホスト部分のサイズがはるかに大きいため、範囲をスキャンすることは事実上不可能です。しかし、あなたはまだファイアウォールが必要です。あなたがIPアドレススキャンからあなたを見つけることができないという事実はあなたが既にあなたのアドレスを知っている誰かに狙われることができないという意味ではありません。

要するに、一般的に言って、IPv6トラフィックがデフォルトで無効化され、IPv6アドレス範囲を簡単にスキャンできないため、着信IPv6トラフィックについて過度に心配する必要はありません。そして多くの人にとってIPv6は自動的に登場し、気付かないでしょう。

NATはセキュリティに対してほとんど効果がありませんでした。 NATを実装するには、基本的にステートフルパケットフィルタが必要です。

ステートフルパケットフィルタを使用することは、IPv6で安全であることが依然として強く求められています。私たちにはたくさんのアドレススペースがあるので、あなたはもはやアドレス変換をもはや必要としません。

ステートフルパケットフィルタは、着信トラフィックを許可せずに発信トラフィックを許可するものです。ファイアウォール/ルーターでは、内部ネットワークとは何かを定義するルールを設定してから、内部ネットワークにアウトバウンド接続を許可し、他のネットワークから内部ホストへの接続を許可しないようにすることができます。 。内部的にサービスを実行している場合は、その特定のサービスのトラフィックを許可するようにルールを設定することができます。

私は、IPv6コンシューマルータがすでにこれを行っているか、将来的にこれを実装し始めると予想しています。カスタムルーターを使用している場合は、これを自分で管理する必要があります。

NATは、ある種の曖昧さを除いて、実際にはセキュリティではありません。私はあらゆる個別のシステムを扱うだろう 後ろに 私はオープンインターネット上のシステムを扱うだろうと同じように気の利いた。

最もネイティブではない（Teredo）、Tunnels（およびさまざまな状況でうまく機能するさまざまなプロトコルがあります）、ipv6rd（基本的にはISPが実行するトンネル、ipv6をすばやく起動するのに適した方法）ネイティブに既存のipv4ネットワーク）、（私達は私達が信じるSLAACおよびNDPを使用します）。

あなたが全く古くないwindowsボックス（XPかそれより良い - しかし私はSP3ボックスより悪いものは何も持っていません、そしてそれは強要の下にある）にいるなら、あなたはおそらく以下のオプションを持っています。 非 ネイティブ、 テレドサポート 。あなたはすでにipv6を使っていてそれに気付いていないかもしれません。 Teredoはちょっとした吸い込みをしますが、いくつかの状況では明示的に無効にする価値があります。

トンネルはある種のクライアントを必要とします、そしてそれはネイティブインストールよりもさらに多くの仕事です。

これ以外では設定がほとんど不可能 ネイティブ 誤ってipv6。どこでもあなたの 現代の ルータはそれをサポートしています、あなたはそれを明確に設定する必要があります、そして一般的に使用される3-4の異なるメカニズムがあります。私のISPは異なる物理的な接続でipv6rdとSLAACを使います、そして、指示はトイレのファイリングキャビネットと同等です。代替手段はトンネルであり、それは基本的に少なくとも1時間の作業です。

私は、オープンインターネット上の他のシステムと同じように、IPV6ネットワークにオープンなすべてのシステムを扱います。それがipv6を必要としない場合は、それをオフにしてください。それは自明です、そして私は私のXPシステムでこれをしました。そうであれば、しっかりと固定してください。それはほとんどありません 絶対に頼ります 現在の移行期間中のipv6では、ipv4にフォールバックできません。注目すべき例外の1つは、Windows 7以降のホームグループです。

良い知らせは、ipv6をサポートしている最近のOSのほとんどが、IPV6用の独自のファイアウォールを持っていることです。それらをロックダウンするのに苦労してはいけません。

IPv6にも奇妙な利点があります。 ipv4では、オープンポートをランダムにスキャンする多くのエクスプロイトがありました。 IPv4 NATは、メインIPアドレスの背後にクライアントを隠すことによって、それを少し軽減します。 IPv6では、巨大なアドレス空間を持つことで、完全にスキャンすることが不可能であることが軽減されています。

結局のところNATはセキュリティツールではありません - それは非常に特定の問題（パブリックIPアドレスを割り当てることの難しさ）を解決することを意味しました。の時代に ルータファームウェアハック 、そして大規模なボットネット どれか それが開いているかのようにシステム、ipv4または6、エンドツーエンドのインターネット。ロックして、必要なものを開いて、心配しないでください。 実際の ダンボールの警官ではなくセキュリティ。

IPv6で解決するアドレス変換の問題がなく、それでもポートを使用している場合、これを管理するのは私の責任なのですか？

NATがないと、ルーターの背後にあるものすべてに固有のパブリックIPアドレスが割り当てられます。

一般的なコンシューマルータは、ルーティング以外にも多くの機能を実行します。

• ファイアウォール/パケットフィルタリング/ "ステートフルパケットインスペクション"
• NAT
• DHCP
• 等

NATが必要ない場合は、ファイアウォールを使用しても構いませんが、NATを使用する必要はありません。ルーティングを行っているデバイスがファイアウォールをかけていない場合（エンタープライズルーターでない限りそうではないかもしれません）、それを行うには別のデバイスを追加する必要があります。

したがって、IPv6ルーターの「ポートを開く」場合、そしてそのルーターが最も一般的なコンシューマールーターのように動作する場合は、ルーターのファイアウォール部分に、必要なポート/プロトコルで着信トラフィックを許可するように指示します。目に見える主な違いは、ネットワーク上のどのプライベートIPアドレスを指定する必要がないかということです。

IPv6の世界でプロービングトラフィックを自動的に偏向させるものは何ですか？

デバイスにファイアウォール機能があり、それが実用的なデフォルトに設定されていない限り、何もありません。

まとめると、IPv6を使用してルータを通過したくないトラフィックをフィルタリングするためのファイアウォールとして機能するものが必要です。