简明centos IPv6 ip6tables 防火墙配置简介

admin

Ip6tables 是 Linux 核心中用于设置、维护和检测 IPv6 包的过滤规则的程序。使用中请注意 IPv4 版的是 iptables，而 IPv6 版的是 ip6tables。
2 d+ q+ p  A0 g6 ^" p$ z
在命令行窗口输入下面的指令就可以查看当前的 IPv6 防火墙配置：
ip6tables -nL --line-numbers

6 q- q5 G: O/ I1 N$ {使用编辑器编辑 /etc/sysconfig/ip6tables 文件：

& b1 {. O2 Z, F# l) v& j7 n; k: ]# vi /etc/sysconfig/ip6tables
可能会看到下面的默认 ip6tables 规则：（不同ip6table版本RH-Firewall-1-INPUT可能不通用请用INPUT替换）
*filter
) P8 Z  i" r  e* z! S' Y( F; Y:INPUT ACCEPT [0:0]
) q1 t% z3 b/ ^# V9 o+ w3 I:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
3 P, q, q6 b* _- m; v2 }( n-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmpv6 -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
/ e* S) \) t1 Z-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
/ z, R; L2 v& ~, x# ]-A RH-Firewall-1-INPUT -p udp --dport 5353 -d ff02::fb -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
7 x+ H, K' c5 F' E( m0 U-A RH-Firewall-1-INPUT -p udp -m udp --dport 32768:61000 -j ACCEPT
4 g0 F1 o* Q$ c, W8 w. s- ~-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 32768:61000 ! --syn -j ACCEPT
6 k- c) ]# ^9 f9 I+ r" q+ B-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 22 -j ACCEPT
$ W+ i$ v9 E; ~; i-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp6-adm-prohibited
8 K. s* L+ N% M" ZCOMMIT
+ C# z! ]! A* |% f, |! t& h5 [: L6 I与 IPv4 的 iptables 规则类似，但又不完全相同。
+ H% C" j: Y1 [" v0 W# \
) O, R( ]$ g- U5 ?/ J要开启 80 端口（HTTP 服务器端口），在 COMMIT 一行之前（准确说应该是在默认操作之前，下同）添加如下规则：
  W7 Z: Y/ r: y/ _7 \* P
-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 80 -j ACCEPT
-p tcp 表示仅针对 tcp 协议的通信。–dport 指定端口号。

要开启 53 端口（DNS 服务器端口），在 COMMIT 一行之前添加如下规则：
' J0 M( C6 G/ m; ]4 C
& a; ?! X9 B1 j1 {. J* }, t+ B# A$ ]-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -m udp -p tcp --dport 53 -j ACCEPT
$ e3 C% U9 _  P: v+ y( N同时针对 tcp 和 udp 协议开启 53 端口。
. K2 `" R$ k0 e9 z, C/ t. X! Y" c
要开启 443 端口（HTTPS 加密连接服务器端口），在 COMMIT 一行之前添加如下规则：

! e8 B; o7 ^: i& S5 ^-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 443 -j ACCEPT
5 J, d# a1 n7 D% f& b要开启 25 端口（SMTP 邮件服务器端口），在 COMMIT 一行之前添加如下规则：

! D% z. {# F( T8 R! p( y: R; i-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 25 -j ACCEPT
( A4 `. K- \1 S对于那些没有特定规则与之匹配的数据包，可能是我们不想要的，多半是有问题的。我们可能也希望在丢弃（DROP）之前记录它们。此时，可以将最后一行：
3 S5 i0 e( X8 H! g
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp6-adm-prohibited
% x9 f$ J5 o* @* i* Z1 WCOMMIT
改为：
! P" |6 O2 E0 B
, Y% t" C3 N- |7 j-A RH-Firewall-1-INPUT -j LOG
-A RH-Firewall-1-INPUT -j DROP
9 v3 g3 Z( |# ~, SCOMMIT
/ S1 e+ r2 b1 H9 O' s7 x保存并关闭该文件。然后重新启动 ip6tables 防火墙：

# service ip6tables restart
7 R$ c- o9 \( T/ |然后重新查看 ip6tables 规则，可以看到如下所示的输出：

# ip6tables -vnL --line-numbers
输出示例：
, u& l) c3 ^0 l1 R( J/ _6 p
' N( e$ N) }* _* o* k% H1 HChain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
+ S  G+ t' f$ l9 W: T" i1    42237 3243K RH-Firewall-1-INPUT  all      *      *       ::/0                 ::/0
2 Q  I* ]4 _" r" X) Q0 j( l, L. cChain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
* M8 r2 \* U% H( S0 z1        0     0 RH-Firewall-1-INPUT  all      *      *       ::/0                 ::/0
Chain OUTPUT (policy ACCEPT 12557 packets, 2042K bytes)
num   pkts bytes target     prot opt in     out     source               destination
Chain RH-Firewall-1-INPUT (2 references)
9 Y8 t% l6 r6 \4 }- m8 ?6 onum   pkts bytes target     prot opt in     out     source               destination
1        6   656 ACCEPT     all      lo     *       ::/0                 ::/0
9 q6 S) W# p+ U5 B" V4 N& p, U2    37519 2730K ACCEPT     icmpv6    *      *       ::/0                 ::/0
, X2 i/ Q* @; B; y. Z3        0     0 ACCEPT     esp      *      *       ::/0                 ::/0
+ S/ e# _! S3 c  g. B4        0     0 ACCEPT     ah       *      *       ::/0                 ::/0
, P" C9 a% f. Q8 y. }2 B3 T5      413 48385 ACCEPT     udp      *      *       ::/0                 ff02::fb/128       udp dpt:5353
6        0     0 ACCEPT     udp      *      *       ::/0                 ::/0               udp dpt:631
% J! l" N. S' N+ q7        0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpt:631
+ H. b  d# `. o. E' y& ^% E8      173 79521 ACCEPT     udp      *      *       ::/0                 ::/0               udp dpts:32768:61000
9        0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpts:32768:61000 flags:!0x16/0x02
8 ]2 N: {$ V# \2 d# Q5 T10       0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpt:22
/ U2 I1 M  m; g/ ?9 L- e8 q11       0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpt:80
12       0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpt:53
7 q, n& N* l* o( D7 Z13    4108  380K ACCEPT     udp      *      *       ::/0                 ::/0               udp dpt:53
14      18  4196 REJECT     all      *      *       ::/0                 ::/0
IPv6 私有 IP¶
# I/ y! u; ]$ e. t3 m  x5 bIPv4 通常默认即可保护内部局域网私有 IP 上的主机（RFC 1918）。但是 IPv6 的地址非常丰富，不再需要使用类似 NAT 等协议的私有网络。这样一来，所有的内部主机都可以拥有公网 IP 而直接连接到互联网，也就同时暴露于互联网上的各种威胁之中了。那么，如何配置 IPv6 防火墙使其默认将除了 ping6 请求之外的所有输入数据包都丢弃呢？

不过，可以使用FC00::/7 前缀来标识本地 IPv6 单播地址。
# @" H( b2 |" X, U, O
& _1 z( l" m  O/ j3 A$ e( H自动配置 IPv6 防火墙示例脚本¶
) P6 Y1 [8 R+ ^0 M$ t与处理 IPv4 防火墙类似，我们除了可以通过直接编辑 ip6tables 的保存文件来配置防火墙之外，还可以使用类似下面的脚本来自动执行配置过程。

#!/bin/bash
  Q; p! @2 L% @' cIPT6="/sbin/ip6tables"
PUBIF="eth1"
echo "Starting IPv6 firewall..."
" L6 [  Y/ j7 U2 ^% Z4 Z4 |0 ?# L2 I$IPT6 -F
4 k- \3 i7 j% |0 o: V$IPT6 -X
2 |' U. P+ T( W1 P) M9 `$IPT6 -t mangle -F
/ F) }) w. x) |+ k- u% R. N) O$IPT6 -t mangle -X
' v+ ^: f/ |# w6 G5 \* Z0 U$ f$ a
#unlimited access to loopback
$IPT6 -A INPUT -i lo -j ACCEPT
# o2 C2 K0 j7 |$IPT6 -A OUTPUT -o lo -j ACCEPT
4 D$ w, A+ }0 K
* f  ~6 K" ?) ~# DROP all incomming traffic
$IPT6 -P INPUT DROP
$IPT6 -P OUTPUT DROP
$IPT6 -P FORWARD DROP

0 H3 I. O1 x7 A$ i( L# Allow full outgoing connection but no incomming stuff
, }4 S5 x9 }/ u1 ~- I$ w$IPT6 -A INPUT -i $PUBIF -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT6 -A OUTPUT -o $PUBIF -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

. n1 Z$ O% C2 Y  P/ I% k& F' b# allow incoming ICMP ping pong stuff
1 V3 A  B( h, h$IPT6 -A INPUT -i $PUBIF -p ipv6-icmp -j ACCEPT
% Z! |' ^- u  D' C" w0 C$IPT6 -A OUTPUT -o $PUBIF -p ipv6-icmp -j ACCEPT

############# START 在下面添加上自己的特殊规则 ############
### open IPv6  port 80
( M; r7 W5 g# A4 ^, S1 h#$IPT6 -A INPUT -i $PUBIF -p tcp --destination-port 80 -j ACCEPT
### open IPv6  port 22
! O! w' L# c' \4 Z9 P6 h& x) O/ @! {+ I#$IPT6 -A INPUT -i $PUBIF -p tcp --destination-port 22 -j ACCEPT
; a( P) C5 @4 T4 ^0 J* n- F( E### open IPv6  port 25
#$IPT6 -A INPUT -i $PUBIF -p tcp --destination-port 25 -j ACCEPT
############ END 自己特殊规则结束 ################
* p% Q& @, s' \& p
#### no need to edit below ###
# log everything else
$IPT6 -A INPUT -i $PUBIF -j LOG
$IPT6 -A INPUT -i $PUBIF -j DROP

admin

-A INPUT -j REJECT --reject-with icmp6-adm-prohibited 将会导致外网访问需要icmp6数据的应用失效，最好删除！意思是阻止一切外部发起的icmp6数据访问，如果保留注意其执行顺序！