Het grote IPv6 topic

quote:

Skinkie schreef op woensdag 27 augustus 2008 @ 20:54:
[...]

En toch zou je willen voorkomen dat er uberhaupt bagger naar je toe komt als je er niet om hebt gevraagd. Ik ben dan ook best blij met de abuse policy van bijvoorbeeld SixXS.

Daar heb je gelijk in, zeker voor thuis verbindingen is een goed abuse beleid erg wenselijk. Zoals xs4all heeft bv.

Ik had het zelf meer over servers in DC's ed, daar vind ik het fijn als ik niet na hoef te denken over een eventuele NAT die raar loopt te spoken waardoor iets niet bereikbaar is of iets in die vorm

quote:

_DH schreef op woensdag 27 augustus 2008 @ 21:07:
[...]

Firewall op je router?

Mwaahh, dan heb je weer hetzelfde "probleem" als met NAT: zeurende huisgenotes omdat hun MSN-filetransfers/cam-geslet/BitTorrent/weetikveel niet werkt en 1x raden wie die poorten dan allemaal open mag gooien in de router

Voor bovenstaande probleem is ipv6 calc uitgevonden.

bart@bartpc:~$ ipv6calc  2001:960:7c1:0:204:61ff:fe79:6653 --out revnibbles.arpa
No input type specified, try autodetection...found type: ipv6addr
3.5.6.6.9.7.e.f.f.f.1.6.4.0.2.0.0.0.0.0.1.c.7.0.0.6.9.0.1.0.0.2.ip6.arpa.

maar ipv6 calc kan meer... * BarthezZ slapt Osiris

BarthezZ wijzigde dit bericht 28-08-2008 01:04 (6%)

Wel handig, maar `dig -x <adres>` is korter typen

Ik moet zeggen dat ik erg content ben met de Cisco IOS Firewall Feature set (dus ook voor IPv6) op mijn routertje.

ip6tables werkt overigens net zo goed als iptables voor IPv4. De enige andere mindset is is dat je geen nat rules meer hebt.

Wat ik dan weer een beetje maf vind, want hoewel het misschien niet nodig is, zou je toch wel verwachten dat het technisch op z'n minst mogelijk zou moeten zijn?

Het zal technisch wel mogelijk zijn alleen er zijn maar weinig redenenen om het te doen. De enige reden die ik kan bedenken is dat als je twee bedrijven aan elkaar wil koppelen is dat jij geen ip space van de ander in jouw routingtables wil hebben. Dat is de reden dat wij vaak 1 op 1 natten ook al zijn het beide private ip spaces.

quote:

Osiris schreef op woensdag 27 augustus 2008 @ 21:14:
[...]

Mwaahh, dan heb je weer hetzelfde "probleem" als met NAT: zeurende huisgenotes omdat hun MSN-filetransfers/cam-geslet/BitTorrent/weetikveel niet werkt en 1x raden wie die poorten dan allemaal open mag gooien in de router

UPnP

NAT is gewoon gezeur met allemaal protocollen die het ip adres in de payload zetten. NAT zou werken als het bedacht was tijdens de ontwikkeling van IPv4. Dat is het niet dus geprut.

quote:

Osiris schreef op woensdag 27 augustus 2008 @ 21:08:
[...]

Gewoon in iptables je INPUT-chain dichtgooien met uitzondering van `RELATED` en `ESTABLISHED`-states? En uiteraard de diverse multicast-adressen.

Mijn scriptje voor ip6tables
code:

$IP6TABLES -t filter -P INPUT ACCEPT
$IP6TABLES -t filter -F INPUT
$IP6TABLES -t filter -A INPUT -i sixxs -m state  --state ESTABLISHED,RELATED -j ACCEPT
$IP6TABLES -t filter -A INPUT -i sixxs -j DROP

$IP6TABLES -t filter -P OUTPUT ACCEPT
$IP6TABLES -t filter -F OUTPUT

$IP6TABLES -t filter -P FORWARD DROP
$IP6TABLES -t filter -F FORWARD
$IP6TABLES -t filter -A FORWARD -i sixxs -m state --state ESTABLISHED,RELATED -j ACCEPT
$IP6TABLES -t filter -A FORWARD -i ! sixxs -j ACCEPT

Er mogen geen sessies naar de firewall of machines achter de firewall geïnitieerd worden.

quote:

Raven schreef op donderdag 28 augustus 2008 @ 14:03:
[...]

UPnP

Ja leuk dat uPnP, maar praktisch 't enige wat je d'r over leest zijn beveiligingsrisico's. Liever niet dus.

quote:

TrailBlazer schreef op donderdag 28 augustus 2008 @ 17:06:
NAT is gewoon gezeur met allemaal protocollen die het ip adres in de payload zetten. NAT zou werken als het bedacht was tijdens de ontwikkeling van IPv4. Dat is het niet dus geprut.

D'r wordt bij NAT toch geen extra overhead aan 't pakketje vastgeplakt? Alleen wat veranderd. Maar je hebt wel gelijk dat 't in principe niet nodig is nee.

alleen source en/of destination wordt veranderd, soms heb je een protocol (zoals IPSec/ISAKMP afaik) wat het destiantion ip adres ook ergens in de data zet. Dan gaat het dus mis omdat de ontvangende computer dan een pakket binnen krijgt met een ip adres in de payload wat niet bij hem hoor.
Dus je krijgt een brief geadresseerd aan Osiris maar de aanhef van de brief is beste Gert-Jan dan heb he dus ook zoiets van huh??

quote:

Skinkie schreef op woensdag 27 augustus 2008 @ 20:54:
[...]

En toch zou je willen voorkomen dat er uberhaupt bagger naar je toe komt als je er niet om hebt gevraagd. Ik ben dan ook best blij met de abuse policy van bijvoorbeeld SixXS.

Dat gebeurt ook een stuk minder. Ik zeg niet dat je geen firewalls meer nodig hebt, maar 't is een stuk minder boeiend bij IPv6. Waarom? De grootte van de address space.

Op dit moment komt de random bagger op je internetverbinding naar je toe omdat 't vrij simpel is om, desnoods gewoon sequentieel, crap naar willekeurige IP-adressen te sturen. Typ een klasse A, B of C adres in en d'r is een vrij grote kans dat 't bestaat en dat er een computer achter hangt. Een 32-bits address space is nu eenmaal gewoon klein.

Probeer hetzelfde eens met een IPv6 adres. En denk er eens over na hoe lang 't duurt om dat sequentieel te scannen. Geloof me, de 'ruis' op je internetverbinding wordt een stuk minder als we IPv4 afschaffen.

Overigens valt dat 'beveiligingsrisico' van UPnP wel mee. Het punt is dat je er poorten mee open kunt zetten: dat is het hele risico.

CyBeR wijzigde dit bericht 28-08-2008 23:46 (6%)

quote:

Osiris schreef op donderdag 28 augustus 2008 @ 19:12:
[...]

Ja leuk dat uPnP, maar praktisch 't enige wat je d'r over leest zijn beveiligingsrisico's. Liever niet dus.

't is dat of een shitload aan poorten open zetten om WLM werkend te krijgen

quote:

CyBeR schreef op donderdag 28 augustus 2008 @ 23:25:
Dat gebeurt ook een stuk minder. Ik zeg niet dat je geen firewalls meer nodig hebt, maar 't is een stuk minder boeiend bij IPv6. Waarom? De grootte van de address space.

En ook het aantal ips wat je kunt gebruiken om een aantal vanaf te starten...

Er zal toch nog echt wel een pc aan dat "aantal ips" moeten hangen hoor. Of zie jij een hacker/scriptkiddie al miljarden computers in bezit nemen om zo een groot mogelijk bereik te scannen?

PC's zullen minder kans hebben om gevonden te worden. Publieke services moeten nog steeds achter een firewall omdat die wel wel bekend zijn bij de scriptkiddies.

quote:

TrailBlazer schreef op donderdag 28 augustus 2008 @ 19:31:
alleen source en/of destination wordt veranderd, soms heb je een protocol (zoals IPSec/ISAKMP afaik) wat het destiantion ip adres ook ergens in de data zet. Dan gaat het dus mis omdat de ontvangende computer dan een pakket binnen krijgt met een ip adres in de payload wat niet bij hem hoor.
Dus je krijgt een brief geadresseerd aan Osiris maar de aanhef van de brief is beste Gert-Jan dan heb he dus ook zoiets van huh??

Probleem meer bij dit soort pakketten is dat juist het source adres in het pakket wordt meegenomen en als je dan gaat NAT'en (of PAT), juist de afzender verkeerd is. Dus op een brief in de envelop van Trailblazer staat "Groeten Whizzer".

Daarbij wordt bij IPSec met AH een hash toegevoegd door de source, welke gegenereerd wordt over het pakket incl. header (met daarin source en destination IP adres). Ga je naderhand NAT'en, dan klopt je hash niet meer en wordt het pakket gedropt.

SNMP is ook zo'n leuke die wel eens het source ip adres in de trap zet. Krijg je na NAT een melding van "10.10.10.10" dat 192.168.0.1 een hoge CPU load heeft...

Ik heb al een aantal jaar via de tunnelbroker van xs4all een tunnel.

Op een server van mij heb ik deze tunnel opgezet waar ik voor me eigen het /48 block in /64 blokken onderverdeel en zo ook beetje me eigen tunnelbroker speel

En op momenten zoals deze is het toch jammer dat sixxs down is...

Hmmh inderdaad, nog steeds.. Was gistermiddag/avond al niet meer bereikbaar.

Iemand enig idee wat er mis is?

quote:

Boboga schreef op maandag 01 september 2008 @ 08:42:
Hmmh inderdaad, nog steeds.. Was gistermiddag/avond al niet meer bereikbaar.

Iemand enig idee wat er mis is?

Van #sixxs.net op ircnet
code:

09:26 < Falconix> ahh great sixxs.net is running again
09:32 < darkhawk> true
09:33 < darkhawk> it was down for about 2 days
09:37 < mjl-> yeah, great to see it's running again!
09:38 < mjl-> btw, i had the idea static tunnels still worked?
09:39 < madduck> everything worked
09:39 < madduck> including ayiya tunnels
09:39 < madduck> they couldn't be set up though
09:39 < madduck> tic.sixxs.net was down
09:40 < mjl-> ah, check
09:40 < mjl-> well, and the website?
09:40 < madduck> yes, same machines i think

Inderdaad, ik merkte het ook pas bij een VM reboot.

Yes, draait weer stabiel zo