[OPGELOST]ip6tables en poort nummer.

[henkoegema]

In een voorbeeld om mijn IPv6 netwerk te beveiligen kwam ik onderstaande tegen:

sudo ip6tables -A INPUT -i lo -j ACCEPT
sudo ip6tables -A OUTPUT -j ACCEPT
sudo ip6tables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
sudo ip6tables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
sudo ip6tables -A INPUT -s 2001:7b8:2ff:xxx::/64 -j ACCEPT
sudo ip6tables -A INPUT -s 2001:7b8:2ff:yxxx::/64 -j ACCEPT
sudo ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
sudo ip6tables -A INPUT -j DROP

sudo ip6tables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
sudo ip6tables -A FORWARD -p tcp -m tcp --dport 22 -j ACCEPT
sudo ip6tables -A FORWARD -s 2001:7b8:2ff:yxxx::/64 -j ACCEPT
sudo ip6tables -A FORWARD -p ipv6-icmp -j ACCEPT
sudo ip6tables -A FORWARD -j DROP


Het gaat mij om de twee vetgedrukte regels in bovenstaand voorbeeld. (met --dport 22)

Vr1. Hiermee wordt poort 22 geaccepteerd. Betekent dit dat alle andere poorten geblokkeerd zijn ?
Vr2. Moet ik, om websites beschikbaar te maken, --dport 80 expliciet vermelden?
Vr3. Ik dacht dat bij IPv6 poort nummers niet meer gebruikt worden. (geen NAT).   

[henkoegema]

Het antwoord op vraag 3 heb ik zelf al gevonden.   

Poort nummers zijn gerelateerd aan services,  en niet aan  NAT. (wel om die services te bereiken).

[Johan van Dijk]

1: Dat hangt af van de overige regels. Volgens de regels die je nu hebt blokkeer je alle andere poorten behalve voor een bepaalde range.

2: Wel als die websites op die computer draaien, zodat ze beschikbaar worden voor de rest van de wereld. Gaat het alleen om het bezoeken van normale websites dan hoef je niets toe te voegen.

[henkoegema]

1: Dat hangt af van de overige regels. Volgens de regels die je nu hebt blokkeer je alle andere poorten behalve voor een bepaalde range.

2: Wel als die websites op die computer draaien, zodat ze beschikbaar worden voor de rest van de wereld. Gaat het alleen om het bezoeken van normale websites dan hoef je niets toe te voegen.

Dank je Johan.