IPv6 SLAAC Attack

[Alukardd]

У меня на Debian'не 6to4 адрес и Firefox предпочитает его.

[ValdikSS]

Возможно, у вас изменены приоритеты в /etc/gai.conf. По умолчанию, у 6to4 адресов один из самых низких приоритетов.
Либо вы путаете с 6in4.

[Alukardd]

Возможно про gai я уже и забыл…

[Alukardd]

А почему nat64 только два? Как минимум есть ещё Jool.

[ValdikSS]

О, спасибо, не знал о нем.

[amarao]

Вообще, в стандартных правилах антиспуфинга есть запрет на RA'шки. Другое дело, что в десктопной сети их не юзают.

Но в свете глобального ssl, любые атаки на перехват трафика становятся всё слабее и слабее.

[ValdikSS]

Но в свете глобального ssl

Зайдите в пост про обозначение HTTP-сайтов небезопасными в Google Chrome, и, к сожалению, узнаете, что нашу с вами позицию многие неодобряют.

[equand]

Конечно не одобряют. Это же дойная корова для SSL-сертификатчиков.
Если бы это было реализовано через Bitcoin (тот же Namecoin), тогда было бы доверительнее.

[sarelius]

Возможно этот проект поможет.
letsencrypt.org/

[imgrey]

Akamai project, US. Стоит ли доверять пиндосской компании, которая работает в параноидальной стране?

[alexander007]

А что вы будите делать там где включена сегментация или private vlan?

[ValdikSS]

Ничего :(

[ValdikSS]

У IPv4 тоже (было) много проблем, которые так или иначе были «исправлены» производителями оборудования всеми возможными защитами и фильтрами, но я считаю, что все же архитектура IPv6 более удачна и понятна, а проблемы безопасности возникают, по большому счету, из-за неосведомленности системных и сетевых администраторов об IPv6.

[frutonyanya]

А можно просьбу? Вот если Вы напишете отдельную статью про nat64, про nat'ирование ipv6 локальной сети в ipv4 интернет, будет замечательно.

[ValdikSS]

Написать статью-то можно, но мне NAT64 вообще не нравится, и я слабо представляю, зачем он кому-то может быть нужен в повседневной жизни. Как по мне, от него сплошные неудобства, уж Dual Stack куда лучше.
Вы его зачем хотите использовать?

[frutonyanya]

Виртуалки… Сидят в IPv6-only сети. И нужно иногда выходить в мир именно по v6, ну или чтоб они думали что это v6. Тестирование, опять же. Виртуальной инфраструктуры не хватает для полноценного тестирования некоторых программ на поддержку ipv6.

[foxmuldercp]

Возьмите туннель в6 от какого нить хурикан електрик и получите /48 а то и /64 бесплатно, без смс. И будет вашим виртуалкам счастье. Кстати, у меня на хурикане лежит обратная зона днс для в6, но у меня туннель от местного украинского оператора

[ValdikSS]

Я предполагаю, что у человека рабочая IPv6-сеть, а ему нужно в IPv4-интернет ходить.

[frutonyanya]

Именно. А всякие тоннели несекурны и потому зарезаны.
Но, голь на выдумки хитра)

[SLY_G]

Почему же нет повсеместного перехода на ipv6? Все так долго кричали о том, что заканчиваются ipv4 адреса…

[TaHKucT]

Потому что администраторы(в данном случае сетевые), в общей массе, люди предусмотрительные, и кричать о том, что ipv4 адреса заканчиваются начали сильно заранее, а еще они ленивые и не хотят переделывать то, что и так пока работает.

[dna]

Гугл (и все его сервисы), ютуб, вк, фейсбук, аппле через ипв6 у меня постоянно работают. Может и еще какие-то сайты, не обращаю особо внимания.

[foxmuldercp]

Потому что заменить вагоны свичей, коммутаторов и прочего end-user оборудования — в рамках какого-нить РосТелекома — это космические суммы. а большая часть SOHO роутеров даже вышедших в прошлом году до сих пор на 2.4 ядре линукса в прошивке и про v6 вообще не в курсе

[khim]

Как это нет? Есть, конечно. Уже 5% пользователей ходят через IPv6 на Google.

И началось это, в общем, тогда, когда и должно было начаться: когда IPv6 адреса начали реально кончаться.

Это — в общем стандартная ситуация: пока есть хоть какая-то возможность избегать upgrade им никто и не занимается. Когда какой-нибудь 5G не придёт и не скажет: «без IPv6 — не входжить» никто особо и париться не будет.

[ValdikSS]

когда IPv6 адреса начали реально кончаться.

Страшно!

[khim]

LOL. Опечатка, извините. Начали кончаться, конечно, IPv4 адреса. Сначала у IANA, потом у NICов, сейчас уже, по слухам, компании начали покупать, чтобы блоки IPv4 адресов добыть… в общем уже видно, что это не просто слова, а реальная проблема. Не в смысле «сегодня я получу блок адресов, но завтра его могут мне и не дать», а в смысле «мне уже не дают IPv4 адресов, но если заплатить кругленькую сумму, то их ещё можно получить». А до этого можно было всегда поохать на форумах, а потом таки ничего не делать по поводу IPv6. Трагедия общин, ничего не попишешь.