简明centos IPv6 ip6tables 防火墙配置简介

admin

Ip6tables 是 Linux 核心中用于设置、维护和检测 IPv6 包的过滤规则的程序。使用中请注意 IPv4 版的是 iptables，而 IPv6 版的是 ip6tables。

3 a9 H* O, @) U' d在命令行窗口输入下面的指令就可以查看当前的 IPv6 防火墙配置：
2 Z% o9 |% }  l1 x9 T. V+ p! @ ip6tables -nL --line-numbers

6 l: R; e8 |: i  n* ]/ `使用编辑器编辑 /etc/sysconfig/ip6tables 文件：
, m6 F/ ^) S1 {5 h
# vi /etc/sysconfig/ip6tables
可能会看到下面的默认 ip6tables 规则：（不同ip6table版本RH-Firewall-1-INPUT可能不通用请用INPUT替换）
: m* t+ x& h: \/ g# e" m. x*filter
" p( n' {, s0 X:INPUT ACCEPT [0:0]
9 h  F* i+ X- }  {% E% h:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
) J! j; @( c. [& c2 o:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
. r; H% T8 o; `* x+ s6 x5 H# g-A RH-Firewall-1-INPUT -i lo -j ACCEPT
9 A: ]& N! ^; J" l" Q! d$ f-A RH-Firewall-1-INPUT -p icmpv6 -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d ff02::fb -j ACCEPT
3 U- r3 Z3 d8 K- t! J" z. z-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
5 e! H7 {. d) Z5 J' S0 @7 R# d, E5 R-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 32768:61000 -j ACCEPT
% X2 }0 m, f) `0 C. b) X-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 32768:61000 ! --syn -j ACCEPT
4 H5 _5 ^* L! [/ ~. o" ~-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp6-adm-prohibited
COMMIT
' B) Q2 W/ N: n与 IPv4 的 iptables 规则类似，但又不完全相同。
# ^  [2 U, O$ t( L* m
要开启 80 端口（HTTP 服务器端口），在 COMMIT 一行之前（准确说应该是在默认操作之前，下同）添加如下规则：

-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 80 -j ACCEPT
) y5 z6 ]8 i4 K- S; l-p tcp 表示仅针对 tcp 协议的通信。–dport 指定端口号。
2 K( q% j6 O; l, Y
: \: I9 k" E8 S; H5 w% r- y* I3 e要开启 53 端口（DNS 服务器端口），在 COMMIT 一行之前添加如下规则：

-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -m udp -p tcp --dport 53 -j ACCEPT
同时针对 tcp 和 udp 协议开启 53 端口。

( J5 x: G9 W% Q要开启 443 端口（HTTPS 加密连接服务器端口），在 COMMIT 一行之前添加如下规则：

" |- K9 T: x0 p- \-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 443 -j ACCEPT
4 G; `5 Q) d7 |" U& M! r要开启 25 端口（SMTP 邮件服务器端口），在 COMMIT 一行之前添加如下规则：

-A RH-Firewall-1-INPUT -m tcp -p tcp --dport 25 -j ACCEPT
对于那些没有特定规则与之匹配的数据包，可能是我们不想要的，多半是有问题的。我们可能也希望在丢弃（DROP）之前记录它们。此时，可以将最后一行：
5 @" l% V* p; {6 E8 O( q( y
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp6-adm-prohibited
COMMIT
) B- O4 `$ I, W" G3 @( S改为：
0 V; d: J4 ~  B* M% X: n
& I6 I+ ?) {6 E  t-A RH-Firewall-1-INPUT -j LOG
/ v  s9 e( @9 F: J- }( F-A RH-Firewall-1-INPUT -j DROP
# H6 i  S1 Z) [; eCOMMIT
! d4 W2 ~/ q0 Q4 [- z* n保存并关闭该文件。然后重新启动 ip6tables 防火墙：

# service ip6tables restart
% \6 E6 O/ G. P7 c% V然后重新查看 ip6tables 规则，可以看到如下所示的输出：

  j! X- j& K* |. }# W0 g# ip6tables -vnL --line-numbers
输出示例：
4 x' h3 ~" z2 G* t
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
5 A3 Z  G1 J2 n/ T! mnum   pkts bytes target     prot opt in     out     source               destination
9 P2 ~3 X5 o+ V  q, z) Z; s9 [" w& `1    42237 3243K RH-Firewall-1-INPUT  all      *      *       ::/0                 ::/0
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
- g+ l4 o: l; Q  |7 O7 h6 |num   pkts bytes target     prot opt in     out     source               destination
1        0     0 RH-Firewall-1-INPUT  all      *      *       ::/0                 ::/0
Chain OUTPUT (policy ACCEPT 12557 packets, 2042K bytes)
1 \/ T+ r* U& |0 v, i8 Nnum   pkts bytes target     prot opt in     out     source               destination
Chain RH-Firewall-1-INPUT (2 references)
num   pkts bytes target     prot opt in     out     source               destination
1        6   656 ACCEPT     all      lo     *       ::/0                 ::/0
; S7 P2 V9 ~7 f& Z4 M' C2    37519 2730K ACCEPT     icmpv6    *      *       ::/0                 ::/0
) ?9 {. z2 y+ s0 H* O0 V* u; J3        0     0 ACCEPT     esp      *      *       ::/0                 ::/0
2 m$ J: O" t$ Y& |  Z4        0     0 ACCEPT     ah       *      *       ::/0                 ::/0
5      413 48385 ACCEPT     udp      *      *       ::/0                 ff02::fb/128       udp dpt:5353
1 a2 G# h' w6 g) E6        0     0 ACCEPT     udp      *      *       ::/0                 ::/0               udp dpt:631
7        0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpt:631
8      173 79521 ACCEPT     udp      *      *       ::/0                 ::/0               udp dpts:32768:61000
3 j& F  h" j: t. ^$ l  U9        0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpts:32768:61000 flags:!0x16/0x02
3 t9 c4 w8 Q5 {6 j4 r0 a% u* V10       0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpt:22
! D0 H; n' P# K# S& I, |11       0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpt:80
12       0     0 ACCEPT     tcp      *      *       ::/0                 ::/0               tcp dpt:53
13    4108  380K ACCEPT     udp      *      *       ::/0                 ::/0               udp dpt:53
14      18  4196 REJECT     all      *      *       ::/0                 ::/0
IPv6 私有 IP¶
5 |5 \; g' ]1 B# ?) }IPv4 通常默认即可保护内部局域网私有 IP 上的主机（RFC 1918）。但是 IPv6 的地址非常丰富，不再需要使用类似 NAT 等协议的私有网络。这样一来，所有的内部主机都可以拥有公网 IP 而直接连接到互联网，也就同时暴露于互联网上的各种威胁之中了。那么，如何配置 IPv6 防火墙使其默认将除了 ping6 请求之外的所有输入数据包都丢弃呢？

# l  J4 z" L1 Q不过，可以使用FC00::/7 前缀来标识本地 IPv6 单播地址。

自动配置 IPv6 防火墙示例脚本¶
与处理 IPv4 防火墙类似，我们除了可以通过直接编辑 ip6tables 的保存文件来配置防火墙之外，还可以使用类似下面的脚本来自动执行配置过程。
( o: V9 v+ h& D+ i
; j0 w7 h: |' P* V; f9 }' g#!/bin/bash
IPT6="/sbin/ip6tables"
PUBIF="eth1"
; z0 {* k- j* m; `echo "Starting IPv6 firewall..."
$IPT6 -F
$IPT6 -X
# u2 o) T$ s9 Q$IPT6 -t mangle -F
- s+ n0 S: ~- `* k. ~$IPT6 -t mangle -X

; F; q' s% {9 {0 Y) S#unlimited access to loopback
; t% C( k" `1 k$IPT6 -A INPUT -i lo -j ACCEPT
$IPT6 -A OUTPUT -o lo -j ACCEPT

# DROP all incomming traffic
' S$ T/ t1 N2 w" h6 V1 |$IPT6 -P INPUT DROP
$IPT6 -P OUTPUT DROP
  k4 d- K9 `9 l# r9 Q# ?1 ?, p3 U/ f$IPT6 -P FORWARD DROP

# Allow full outgoing connection but no incomming stuff
$IPT6 -A INPUT -i $PUBIF -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT6 -A OUTPUT -o $PUBIF -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
7 h, o7 v1 B6 B/ I. }
6 I& m4 F! {( a5 }# }2 Y- N8 k0 h+ C# x# allow incoming ICMP ping pong stuff
$IPT6 -A INPUT -i $PUBIF -p ipv6-icmp -j ACCEPT
! Z, W3 E0 v, D0 h1 P$IPT6 -A OUTPUT -o $PUBIF -p ipv6-icmp -j ACCEPT

############# START 在下面添加上自己的特殊规则 ############
### open IPv6  port 80
#$IPT6 -A INPUT -i $PUBIF -p tcp --destination-port 80 -j ACCEPT
### open IPv6  port 22
+ z# R- [! T$ R! s4 U" G; V#$IPT6 -A INPUT -i $PUBIF -p tcp --destination-port 22 -j ACCEPT
% I8 I* T1 U2 a5 f5 V### open IPv6  port 25
#$IPT6 -A INPUT -i $PUBIF -p tcp --destination-port 25 -j ACCEPT
############ END 自己特殊规则结束 ################
& V$ v6 j* p3 K; V4 M6 F1 y
#### no need to edit below ###
# log everything else
: ^, z7 D  R# h$IPT6 -A INPUT -i $PUBIF -j LOG
$IPT6 -A INPUT -i $PUBIF -j DROP

admin

-A INPUT -j REJECT --reject-with icmp6-adm-prohibited 将会导致外网访问需要icmp6数据的应用失效，最好删除！意思是阻止一切外部发起的icmp6数据访问，如果保留注意其执行顺序！