Mengelola aturan paralel untuk iptables ipv4 dan ipv6?

Kami baru-baru ini mulai bereksperimen dengan IPv6, dan salah satu masalah pertama yang harus kami hadapi adalah berurusan dengan aturan firewall (Linux iptables / ip6ables) yang benar-benar terpisah untuk kedua tumpukan protokol. Logika firewall kami sebagian besar didasarkan pada sejumlah jaringan tujuan khusus (misalnya, 10.0.0.0/24 adalah jaringan stasiun kerja staf, 10.1.0.0/24 adalah jaringan basis data, 10.2.0.0/24 adalah jaringan server web, dll. ), dan logika untuk IPv6 dan IPv4 sebagian besar akan sama, modulo berbagai jaringan awalan.

Apa yang dilakukan orang mengelola situasi semacam ini? Idealnya saya ingin dapat menghasilkan iptables dan aturan ip6table dari file sumber yang sama. Saya sudah melempar bersama sesuatu menggunakan bash, tapi itu belum tentu cantik dan saya menduga bahwa solusi yang lebih baik harus ada di suatu tempat di luar sana.

Saya akan sangat tertarik pada solusi berbasis Wayang yang memanfaatkan mekanisme ketergantungan Wayang sendiri untuk menerapkan urutan aturan relatif (atau kelompok aturan).

Firewall Builder memiliki apa yang Anda butuhkan. Anda dapat membuat satu set aturan, tandai sebagai "gabungan ipv4 + ipv6" dan letakkan jaringan ipv4 dan ipv6 Anda yang ditugaskan ke segmen yang sama (seperti "basis data jaringan" dll) dalam aturan yang sama. Program kemudian menghasilkan dua konfigurasi iptables yang terpisah satu untuk ipv4 dan lainnya untuk ipv6. Bab Panduan Pengguna ini menggambarkan hal ini, meskipun ia menggunakan daftar akses router Cisco sebagai contoh. Ini berfungsi persis sama untuk iptables.

http://www.fwbuilder.org/4.0/docs/users_guide5/combined-ipv4-ipv6-rule-set.html

Saya juga baru-baru ini dihadapkan dengan membuat aturan iptables untuk keduanya, IPv4 dan IPv6. Setelah beberapa pencarian saya akhirnya menggunakan cabang FireHOL IPv6 oleh Phil Whineray .

FireHOL adalah generator firewall iptables yang menghasilkan firewall penyaringan paket iptables stateful, pada host dan router Linux dengan sejumlah antarmuka jaringan, sejumlah rute, sejumlah layanan yang dilayani, sejumlah kompleksitas antara variasi layanan (termasuk positif dan negatif ekspresi). (Sumber: situs web FireHOL)

Sayangnya versi resmi tidak memiliki dukungan untuk IPv6. Tetapi Phil Whineray telah menambahkan dukungan di cabang yang tidak resmi.

Beberapa contoh tentang bagaimana konfigurasi itu terlihat:

# allowing outgoing http and https requests for ipv4 and ipv6 (default setting when nothing is specified):
client "http https" accept

# allow incoming ssh only on ipv4
ipv4 server ssh accept

# allow incoming IMAP requests only for ipv6
ipv6 server imap accept

Anda dapat checkout cabang firehol ini di:

git clone git://repo.or.cz/fireholvi.git

Dokumentasi tambahan dapat ditemukan di dokumentasi FireHOL resmi atau di Readme tambahan tentang IPv6 .

Secara pribadi saya mungkin akan berhati-hati ketika menggunakannya pada mesin produksi di mana memiliki firewall yang andal 100% penting. Tapi tetap saja layak untuk dilihat.

Untuk kepentingan penginjilan yang terus-menerus, saya menyarankan Leveraging Puppet untuk mengangkat Anda. Saat ini tidak ada skrip yang baik untuk menangani aturan iptables 4 dan 6, tetapi tidak akan terlalu sulit untuk menulisnya begitu Anda menyesuaikan diri dengan bahasa tersebut.

Repositori publik Mediawiki adalah tambang yang fantastis dari pola konfigurasi dan termasuk kelas iptables yang akan memberikan basis yang baik untuk memulai. Anda bisa mengeditnya untuk menerapkan aturan ke dua tumpukan sekaligus secara default dan memiliki tanda untuk aturan yang berbeda saat Anda mendasarkan sesuatu pada aturan IPv4 atau IPv6.

Bonus utama pada akhir ini adalah bahwa aturan firewall untuk layanan dapat ditulis ke dalam definisi layanan dan secara otomatis digunakan dan dihapus ketika suatu layanan dikerahkan atau dihapus.

Menjawab pertanyaan saya sendiri di sini, tetapi saya pikir informasi ini mungkin menarik secara umum:

Sambil melihat pertanyaan ini, saya menemukan ufw (Uncomplicated FireWall) dari orang-orang Ubuntu. Dengan IPV6 diaktifkan di konfigurasi ufw, ufw akan mengelola aturan iptables dan ip6tables secara paralel. Ini berarti Anda dapat melakukan sesuatu seperti ini:

# ufw allow ssh/tcp

Dan berakhir dengan:

# ufw status
Status: active

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW       Anywhere
22/tcp                     ALLOW       Anywhere (v6)

Yang menghasilkan aturan iptables / ip6tables yang terlihat seperti ini:

# iptables-save | grep 'dport 22'
-A ufw-user-input -p tcp -m tcp --dport 22 -j ACCEPT
# ip6tables-save | grep 'dport 22'
-A ufw6-user-input -p tcp -m tcp --dport 22 -j ACCEPT

Ufw juga mendukung profil aplikasi, yang memungkinkan Anda membuat grup bernama port. Kamu bisa melakukan ini:

# ufw allow 'WWW Full'

Dan akhirnya membuka kedua port 80 dan 443 (untuk IPv4 dan IPv6).

Saya baru saja mulai melihatnya, tetapi tampaknya disatukan dengan cukup baik.

Karena masih belum ada dalam daftar: Shorewall adalah alat konfigurasi filter paket kaya fitur yang diadopsi secara luas dan diperbarui secara luas. Itu memiliki dukungan IPv6 untuk sementara waktu sekarang.