VD
С точки зрения безопасности явных косяков нет ? И еще что-то торренты не разу на ipv6 не цплялись
Size: a a a
2018 May 12
k
в начало бы добавить INVALID -j DROP
P
С точки зрения безопасности явных косяков нет ? И еще что-то торренты не разу на ipv6 не цплялись
У меня пачка пиров уже светилась.
VD
Там в конце есть A FORWARD -m state —state INVALID -j DROP
VD
не поможет?
k
В начало, чтобы сразу кривые пакеты отсекать на всех интерфейсах. Ну, я бы так сделал. (в общем у меня так и есть)
VD
В начало, чтобы сразу кривые пакеты отсекать на всех интерфейсах. Ну, я бы так сделал. (в общем у меня так и есть)
спасибо за совет
k
В принципе мало кто будет пока в v6 ломиться, у меня по ssh за все время что туннель поднят, а это лет 7, ни одного левого коннекта пока не было.
- У вас несчастные случаи на стройке были?
- Нет.
- Будут! (С)
VD
И еще я тут начитался. Радостно на удлаенном сервере ubuntu 16.04 miredo поднял, думал с домашнего ПК им смогу управлять. там где miredo стоит доступ к сайтам ipv6 появился, а с домашнего ПК я не могу на адрес удаленного интерфейса teredo подключиться. Даже все ip6tables на ubuntu удаленном отключал - ни доступа ни пинга с домашнего пк к удаленному серверу нет. сервер конечно за нат
VG
как косвенный автор этих правил выше скажу, что related,est первыми для максимальной скорости установленных соединений. переносить в конец не стоит
VD
как косвенный автор этих правил выше скажу, что related,est первыми для максимальной скорости установленных соединений. переносить в конец не стоит
спасибо за разъяснения
r
а мне вот кажется там INVALID DROP лишнее
r
дефолтная полиси и так в DROP
VG
а мне вот кажется там INVALID DROP лишнее
все верно. там логгировать пакеты можно, drop заменяется на logdrop таргет, с полиси это просто будет невозможно
VG
так исторически сложилось, в общем
VG
дроп invalid не первым из-за проблем в контраке на некоторых ядрах с icmpv6 редиректами. чтобы валидные пакеты не дропал слишком рано
VG
костыли крч )
G
На @yandex.ru ваши письма не доходят. В спаме тоже нет.
Y
щас гляну
Y
мы там вчера апгрейд делали. может почту не поправили