ip6tables阻塞outgoing+incoming连接

Question

我刚刚用ipv6换到了服务器，因此我修改了防火墙脚本。但是，将我的iptables-脚本更改为ip6tables似乎不起作用。这是ipv6部分，它既不允许传出通信量，也不允许ipv6上的传入通信量(但应该允许所有传出流量，并且只允许ssh、https)；ipv4的工作方式类似于魅力：

#IPv6
# Setting default policies:
ip6tables -P INPUT DROP
ip6tables -P FORWARD DROP
ip6tables -P OUTPUT ACCEPT

# Exceptions to default policy
ip6tables -I INPUT -i lo -j ACCEPT
ip6tables -A INPUT -p tcp —dport 22 -j ACCEPT       # SSH
ip6tables -A INPUT -p tcp —dport 443 -j ACCEPT      # HTTPS
ip6tables -A INPUT -m state —state ESTABLISHED,RELATED -j ACCEPT

谢谢!

解决方案：

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT
iptables -A FORWARD -p icmp -j ACCEPT

ip6tables -A INPUT -p icmpv6 -j ACCEPT
ip6tables -A OUTPUT -p icmpv6 -j ACCEPT
ip6tables -A FORWARD -p icmpv6 -j ACCEPT

根据这里的另一个答案和http://www.ietf.org/rfc/rfc4890.txt

Answer 1

您没有允许传出的规则，尽管端口22和443的规则似乎是双向的。您应该在外部接口上过滤ICMP，并允许端口53 ( UDP和TCP)上的DNS通信量。

我建议您使用具有n个IPv6功能的防火墙构建器。有些端口可能希望阻止传出通信量，即使您希望对传出通信量制定开放策略。一个好的防火墙构建器将有一些默认规则，让您开始使用一个合理的防火墙。