IPv6 SLAAC Attack

[@Alukardd]

У меня на Debian'не 6to4 адрес и Firefox предпочитает его.

[@ValdikSS]

Возможно, у вас изменены приоритеты в /etc/gai.conf. По умолчанию, у 6to4 адресов один из самых низких приоритетов.
Либо вы путаете с 6in4.

[@Alukardd]

Возможно про gai я уже и забыл…

[@Alukardd]

А почему nat64 только два? Как минимум есть ещё Jool.

[@ValdikSS]

О, спасибо, не знал о нем.

[@amarao]

Вообще, в стандартных правилах антиспуфинга есть запрет на RA'шки. Другое дело, что в десктопной сети их не юзают.

Но в свете глобального ssl, любые атаки на перехват трафика становятся всё слабее и слабее.

[@ValdikSS]

Но в свете глобального ssl

Зайдите в пост про обозначение HTTP-сайтов небезопасными в Google Chrome, и, к сожалению, узнаете, что нашу с вами позицию многие неодобряют.

[@equand]

Конечно не одобряют. Это же дойная корова для SSL-сертификатчиков.
Если бы это было реализовано через Bitcoin (тот же Namecoin), тогда было бы доверительнее.

[@sarelius]

Возможно этот проект поможет.
letsencrypt.org/

[@imgrey]

Akamai project, US. Стоит ли доверять пиндосской компании, которая работает в параноидальной стране?

[@alexander007]

А что вы будите делать там где включена сегментация или private vlan?

[@ValdikSS]

Ничего :(

[@ValdikSS]

У IPv4 тоже (было) много проблем, которые так или иначе были «исправлены» производителями оборудования всеми возможными защитами и фильтрами, но я считаю, что все же архитектура IPv6 более удачна и понятна, а проблемы безопасности возникают, по большому счету, из-за неосведомленности системных и сетевых администраторов об IPv6.

[@frutonyanya]

А можно просьбу? Вот если Вы напишете отдельную статью про nat64, про nat'ирование ipv6 локальной сети в ipv4 интернет, будет замечательно.

[@ValdikSS]

Написать статью-то можно, но мне NAT64 вообще не нравится, и я слабо представляю, зачем он кому-то может быть нужен в повседневной жизни. Как по мне, от него сплошные неудобства, уж Dual Stack куда лучше.
Вы его зачем хотите использовать?

[@frutonyanya]

Виртуалки… Сидят в IPv6-only сети. И нужно иногда выходить в мир именно по v6, ну или чтоб они думали что это v6. Тестирование, опять же. Виртуальной инфраструктуры не хватает для полноценного тестирования некоторых программ на поддержку ipv6.

[@foxmuldercp]

Возьмите туннель в6 от какого нить хурикан електрик и получите /48 а то и /64 бесплатно, без смс. И будет вашим виртуалкам счастье. Кстати, у меня на хурикане лежит обратная зона днс для в6, но у меня туннель от местного украинского оператора

[@ValdikSS]

Я предполагаю, что у человека рабочая IPv6-сеть, а ему нужно в IPv4-интернет ходить.

[@frutonyanya]

Именно. А всякие тоннели несекурны и потому зарезаны.
Но, голь на выдумки хитра)

[@SLY_G]

Почему же нет повсеместного перехода на ipv6? Все так долго кричали о том, что заканчиваются ipv4 адреса…

[@TaHKucT]

Потому что администраторы(в данном случае сетевые), в общей массе, люди предусмотрительные, и кричать о том, что ipv4 адреса заканчиваются начали сильно заранее, а еще они ленивые и не хотят переделывать то, что и так пока работает.

[@dna]

Гугл (и все его сервисы), ютуб, вк, фейсбук, аппле через ипв6 у меня постоянно работают. Может и еще какие-то сайты, не обращаю особо внимания.

[@foxmuldercp]

Потому что заменить вагоны свичей, коммутаторов и прочего end-user оборудования — в рамках какого-нить РосТелекома — это космические суммы. а большая часть SOHO роутеров даже вышедших в прошлом году до сих пор на 2.4 ядре линукса в прошивке и про v6 вообще не в курсе

[@khim]

Как это нет? Есть, конечно. Уже 5% пользователей ходят через IPv6 на Google.

И началось это, в общем, тогда, когда и должно было начаться: когда IPv6 адреса начали реально кончаться.

Это — в общем стандартная ситуация: пока есть хоть какая-то возможность избегать upgrade им никто и не занимается. Когда какой-нибудь 5G не придёт и не скажет: «без IPv6 — не входжить» никто особо и париться не будет.

[@ValdikSS]

когда IPv6 адреса начали реально кончаться.

Страшно!

[@khim]

LOL. Опечатка, извините. Начали кончаться, конечно, IPv4 адреса. Сначала у IANA, потом у NICов, сейчас уже, по слухам, компании начали покупать, чтобы блоки IPv4 адресов добыть… в общем уже видно, что это не просто слова, а реальная проблема. Не в смысле «сегодня я получу блок адресов, но завтра его могут мне и не дать», а в смысле «мне уже не дают IPv4 адресов, но если заплатить кругленькую сумму, то их ещё можно получить». А до этого можно было всегда поохать на форумах, а потом таки ничего не делать по поводу IPv6. Трагедия общин, ничего не попишешь.