Güvenlik duvarı açısından, hem IPv4 hem de IPv6'nın (etkinleştirilmişse) bir sistem üzerinde yapılandırıldığını ve bu her zaman böyle olmadığını anlamak önemlidir.

Deneyimlerime göre, yapabildim (dahili) güvenlik duvarlarını atlama. Bir senaryoda, bir Linux makinesinde iptables yapılandırıldı, ancak IPv4 üzerinden kullanılamayan (savunmasız) hizmetleri açığa çıkaran ip6tables yapılandırılmadı.

Çoğu hizmet 0.0.0.0 ve [:: ]: [port] (her arayüz), bu hizmetler IPv6 üzerinden de mevcuttur.

Bu nedenle, kullanmıyorsanız, evet, IPv6'yı devre dışı bırakmayı düşünmeniz önemlidir. Bunu kullanırsanız, siz veya genel olarak yöneticilere (en azından Linux sunucularında) fazladan güvenlik duvarı yapılandırmasının gerekli olduğu konusunda bilgi verilmelidir.

Başlamadan önce yöneticilerin bunun farkında olması gerekir, tamamen doğru. Bununla birlikte, deneyimlerden sistem yöneticileri arasında çok fazla IPv6 bilgisi eksiktir.

IPv6'yı devre dışı bırakmanın belirli bir avantajı yoktur. Özellikle IPv6, IPv4'ten daha savunmasız değildir, bunun yerine daha güvenli olduğunu söyleyebilirim (örneğin: IPv6, IPSec'i desteklemeyi önerir).

Asıl nokta, işletim sisteminizi güçlendirirken genel felsefe kullanılmayan tüm hizmetlerin / araçların kaldırılmasını önerir. Bu, OS'niz üzerinde daha iyi bir kontrol sağlar, performansı iyileştirir (genel bir şekilde) ve saldırganların olası yazılım hatalarından veya yanlış yapılandırmalardan yararlanma ve sisteme (kısmi) kontrol / erişim elde etme olasılığını azaltır. Bu nedenle, kullanılmayan bir IPv6'nın kaldırılması, sağlamlaştırmayı tamamlamak için genel olarak önerilen bir işlemdir.

Bu tavsiye iyi niyetli ancak eskimiş.

IPv6, özellikle IPv4'ten çok daha kolay, kurulumu ve yönetimi çok kolay olacak şekilde tasarlanmıştır. Ana bilgisayarların ve tüm ağların otomatik olarak yapılandırılmasına veya kolayca merkezi olarak yapılandırılmasına neden olan birçok özelliğe sahiptir. Çoğu durumda, tüm ağların, ağ ucuna getirilir getirilmez aniden İnternet'e IPv6 bağlantısı kazanması mümkündür ve bu da bazı insanları şaşırtabilir.

Bu tavsiye, geçmişte yöneticileri hem kendilerinden korumaktı. - IPv6 özelliklerine aşina olmayabileceklerinden - ve kötü niyetli kişilerden - nihayet İnternet'e IPv6 bağlantısı kazandıklarında, cihazlar otomatik olarak yapılandırmaya çalışacak ve bazen başarılı olacaktır. Ayrıca, Windows'un belirli sürümleri, kutudan çıkar çıkmaz İnternet'e IPv6 tünelleri kurmaya çalışır ve bu da bazı kullanıcıları ve yöneticileri şaşırttı. (Bir kenara, özellikle istenmedikçe bu tünellerin devre dışı bırakılması neredeyse her zaman iyi bir fikirdir.)

Diğerlerinin de belirttiği gibi, 5-10 yıl öncesinden kalma bazı eski güvenlik duvarları veya daha eski güvenlik duvarları doğru şekilde yapılandırılmamıştı. IPv4'e ek olarak IPv6 güvenlik duvarı için kendilerini. Bu tür eski cihazlar her geçen gün daha nadir hale geldiğinden, bu bugün o kadar büyük bir sorun değil.

Bugünlerde çoğu insan, küresel IPv6 bağlantısına sahip olmasa bile aslında IPv6 kullanıyor. Windows 8 ve sonraki sürümler, ev ağlarında yaygın olarak IPv6 kullanır ve bazı Windows özellikleri kesinlikle IPv6 gerektirir.

İşlevselliği güvenlikle dengeleme açısından, insanlara şunları tavsiye etmek daha iyi olacaktır. Global IPv6 bağlantılarına sahip olmasalar bile, IPv6'nın IPv4'e uygun şekilde güvenlik duvarına tabi tutulduğundan emin olun. Bu, nihayet küresel IPv6 bağlantısı kazandıklarında kullanıcıları korurken zaten var olan IPv6 işlevselliğini koruyacaktır.

Kısa yanıt: Evet, ancak en iyi etki için IPv4'ü de devre dışı bırakmalısınız.

Ciddi yanıt: Bir protokolü aktif olarak kullanmaz ancak paketleri kabul ederseniz, riski artırırsınız. En bariz şey, IPv6 kullanan hiçbir şey olmasa bile paketleri işlemesi gerektiğinden ağ yığınıdır.

Ancak asıl risk, aslında IPv6 kullanıyorsunuz, aktif olarak kullanmıyorsunuz. IPv6 kullanmayabilirsiniz, ancak bazı programlarınız IPv6'da (ve IPv4'te) dinleme soketleri açar ve gelen paketleri işler. Yine ek karmaşıklığa sahipsiniz (v6 paketlerini v4 paketler kadar dikkatli işlerler mi?) Ve siz de iyi bir IPv4 güvenlik duvarınız var ancak yine de kullanmadığınızı düşündüğünüz için v6 için uygun kuralları unuttunuz.

Ve başka bir "Kullanmadığınızdan emin misiniz?": Aktif olarak kullanamayabilirsiniz , ancak tarayıcınız gibi programlar varsa onu kullanır. Örneğin şimdi IP düzeyinde bazı izleme web sitelerini engellediğinizde, bunlar IPv6 adreslerinden yüklenebilir ve güvenlik duvarınız siz karşılık gelen v6 kurallarını ekleyene kadar sizi buna karşı korumaz.

Sahip olmak bu, IPv6'yı devre dışı bırakmamanız gerektiğini söyledi. İnternetin giderek daha fazla kullanılması onu kullanıyor ve devre dışı bırakmak, önce ağınızı yavaşlatacak ve er ya da geç, belirli hizmetlere erişmenizi imkansız hale getirecektir. IPv4 için kurallar eklerken güvenlik duvarınızı IPv6 için de ayarladığınızdan emin olun.

Çoğu uygulama, kullanmasalar bile IPv6 desteğine bağlıdır. Örneğin IPv6 soketlerini kullanırlar. IPv6 çekirdek modülünü kaldırarak IPv6'yı tamamen kapatmak işleri bozacaktır.

IPv6'nın başka bir IPv6 olmasa bile yerel bağlantıda her zaman mevcut olduğunu göz önünde bulundurarak, IPv6'nın düzgün bir şekilde güvenlik duvarına sahip olduğundan emin olmak çok daha iyidir. adresler yapılandırılır. En yeni Linux dağıtımlarının, hem IPv4 hem de IPv6'yı filtreleyecek, varsayılan olarak etkinleştirilmiş iyi bir güvenlik duvarı (genellikle ufw veya güvenlik duvarı) vardır.

Kısaca: IPv6'nın varlığını kabul edip yönetmek / filtrelemek, onu görmezden gelmeye veya ondan kurtulmaya ve başka sorunlara neden olmaya çalışmaktan daha iyidir.

Buna meşru bir ihtiyacınız yoksa, IPv6, yalnızca kötüye kullanımların ağınıza girmesi ve verilerinizin tespit edilmeden dışarı sızması için başka bir kanal görevi görür. Genel güvenlik kuralı, ihtiyaç duymadığınız her şeyi devre dışı bırakmaktır.

Güvenlik duvarını çevreleyen güvenlik duvarında engelleseniz bile, bir saldırgan bir ana bilgisayarın güvenliğini ihlal edebilir (belki DMZ?) IPv4 üzerinden ve IPv6 aracılığıyla içeriden yayıldı.

Çoğu güvenlik duvarı ve IDS ürünü şu anda yeterli IPv6 desteğine sahip, bu nedenle zayıf IPv6 izlemesiyle ilgili ilk endişeler çoğunlukla geçerliliğini yitirmiş durumda.

Ne olursa olsun, düşmanı devre dışı bırakarak bu fırsatı reddetmek daha iyidir. Devre dışı bırakılamıyorsa, yerel güvenlik duvarında IPv6'yı kısıtlayın, böylece yalnızca IPv6 soketleri gerektiren uygulamalar için yerel / geri döngü iletişimine izin verir.

Kullanılmayan herhangi bir işlevi devre dışı bırakmak genel bir güvenlik ilkesidir. Ayrıca, IPv6'nın yerleşik IPSec'e sahip olduğunu ve varsayılan olarak IPv4'ten daha iyi bir seçenek olabileceğini göz önünde bulundurun.

Bu, söylenenlerle temelde aynıdır, ancak şu şekilde ifade edelim:

Seçenek 1 : IPv6 kullanın ve onu yapılandırmak ve güvenli hale getirmek için aynı çabayı gösterin tıpkı IPv4'ü yaptığınız gibi.

2. Seçenek : Kullanmayın ve devre dışı bırakın.

Her ikisi de tamamen makul ve çok daha iyi Seçenek 3'e göre alınacak konum: IPv6 kullanmayın, ancak güvenlik duvarı kurallarınızda ve hizmet yapılandırmanızda göz ardı edin ve tamamen açık bırakın.

Diğer bir deyişle, tavsiye iyidir ve Özellikle kullanmak istiyorsanız, IPv6'yı kullanmamanızı tavsiye etmiyoruz, ancak onu kullanmayan insanları görmezden gelme tuzağına karşı uyarıyor ve IPv4 yapılandırmanızla aynı incelemeyi yapmıyorsunuz. Bu kişilerin onu devre dışı bırakması daha iyi olur.

Güvenlik açısından bakıldığında, konu yazılım ve uygulamalar olduğunda daha azı iyidir. Şu anda bir IPv6 ağı dağıtmıyorsanız, IPV6 devre dışı bırakılmalıdır. Anladığım kadarıyla, tüm IPv4 adreslerinin dağıtıldığını ve olay yerine IPv6'nın geldiğini ve diğerlerinin IPv6 protokolünü etkin bırakmanızı tavsiye ettiğini unutmayın. Katılmıyorum! Protokole ihtiyacınız olduğunda etkinleştirin. Aynısı uygulamalar ve bağlantı noktaları için de geçerlidir.

Bunun farklı yönleri var.

Öncelikle, tamamen istatistiksel bir bakış açısıyla, ne kadar çok erişim noktası / kapı açarsanız, sisteminiz o kadar savunmasız hale gelir. Yine de çoğu hizmet için bu doğrudur.

Daha spesifik olarak, IPv6 henüz güvenlik açıklarını tam olarak anlayabilecek ve bunları düzeltebilecek kadar geniş bir ölçekte uygulanmamıştır. En iyi IP uzmanları bile IPv6 söz konusu olduğunda neredeyse hiç somut alan deneyimine sahip değilsiniz.

Bunun da ötesinde, IPv6 belirli işlemleri IPv4'ün yaptığından tamamen farklı bir şekilde yönetiyor ve bu, saldırganlar için yeni fırsatlar yarattı ... bilinen güvenlik açığı, örneğin, bir yönlendiricinin bir LAN'ı çok kolay bir IPv6 DOS hedefi haline getiren IPv6 reklamlarını göndermesinin farklı bir yolundan kaynaklanır, bkz. IPv6 Yönlendirici Bildirimi DOS.

Tümü IPv6'nın güvenlik açıklarından yararlanma amaçlı araç takımları İnternet'in her yerinde kolayca kullanılabilir.

IPv6'nın tüm cihazlarımda devre dışı bırakıldığından her zaman emin oluyorum. Henüz kimsenin kullanmadığı / desteklemediği bir şey için neden gereksiz risk alasınız?