ip6tables -配置

Question

我正在为我的ip6tables配置创建另一个线程。

ip6tables -F
ip6tables -X
ip6tables -t nat -F
ip6tables -t nat -X
ip6tables -t mangle -F
ip6tables -t mangle -X
ip6tables -P INPUT DROP
ip6tables -P FORWARD DROP
ip6tables -P OUTPUT DROP 

# Autorise les connexions déjà établies et localhost                
ip6tables -A INPUT -m state --state ESTABLISHED -j ACCEPT       
ip6tables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT  
ip6tables -A INPUT -i lo -j ACCEPT                          
#ip6tables -A OUTPUT -o lo -j ACCEPT


#TOR
ip6tables -A OUTPUT -p tcp -m tcp --dport 9050 -j ACCEPT

# ICMP (Ping)                                       
ip6tables -A INPUT -p icmpv6 -j ACCEPT                      
ip6tables -A OUTPUT -p icmpv6 -j ACCEPT

# DNS                                           
ip6tables -A OUTPUT -p tcp --dport 53 -j ACCEPT                 
ip6tables -A OUTPUT -p udp --dport 53 -j ACCEPT                     

# HTTP                                          
ip6tables -A OUTPUT -p tcp --dport 80 -j ACCEPT             


#HTTPS
ip6tables -A OUTPUT -p tcp --dport 443 -j ACCEPT                        


# Mail SMTP 

ip6tables -A INPUT -p tcp --dport 25  -j ACCEPT
ip6tables -A OUTPUT -p tcp --dport 25 -j ACCEPT  
ip6tables -A INPUT -p tcp --dport 587 -j ACCEPT
ip6tables -A OUTPUT -p tcp --dport 587 -j ACCEPT
ip6tables -A INPUT -p tcp --dport 465 -j ACCEPT
ip6tables -A OUTPUT -p tcp --dport 465 -j ACCEPT


#Transmission
ip6tables -A INPUT -p udp --dport 51413 -j ACCEPT
ip6tables -A OUTPUT -p udp --sport 51413 -j ACCEPT


# NTP (horloge du serveur) 
ip6tables -A OUTPUT -p udp --dport 123 -j ACCEPT    

# On log les paquets en entrée.
ip6tables -A INPUT -j LOG


exit 0

一切正常..。除了smtp。我只是不明白为什么。你能帮我理解一下发生了什么吗？

提前谢谢！

Answer 1

因此，如所建议的，如果它在未来有帮助的话。

对于ipv6来说，icmp比ipv4重要得多。因此，这是需要允许的。

所以，我不得不接受所有的icmpv6，一切都很好。

然而，它显然并不完全安全。更安全的选项是只接受所有工作所必需的icmpv6类型：

ip6tables -A INPUT -p icmpv6 --icmpv6-type router-advertisement -m state --state UNTRACKED -m hl --hl-eq 255 -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type neighbour-advertisement -m state --state UNTRACKED -m hl --hl-eq 255 -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type neighbour-solicitation -m state --state UNTRACKED -m hl --hl-eq 255 -j ACCEPT
ip6tables -A OUTPUT -p icmpv6 --icmpv6-type router-solicitation -m state --state UNTRACKED -m hl --hl-eq 255 -j ACCEPT
ip6tables -A OUTPUT -p icmpv6 --icmpv6-type neighbour-advertisement -m state --state UNTRACKED -m hl --hl-eq 255 -j ACCEPT
ip6tables -A OUTPUT -p icmpv6 --icmpv6-type neighbour-solicitation -m state --state UNTRACKED -m hl --hl-eq 255 -j ACCEPT
ip6tables -A INPUT -p icmpv6 -j DROP
ip6tables -A OUTPUT -p icmpv6 -j DROP