أمان IPv6: التهديدات، التخفيفات، وأفضل الممارسات

أسطورة NAT#

يظهر قلق واحد باستمرار عندما تنظر المؤسسات في IPv6: «بدون NAT، ألسنا مكشوفين؟»

لا. لم يكن NAT أبداً ميزة أمان. كان حلاً لندرة العناوين حدث أن يخفي العناوين الداخلية. يوفر جدار الحماية ذو الحالة نفس الحماية - حظر الاتصالات الواردة غير المطلوبة - بدون مساوئ ترجمة العناوين.

المشكلة الحقيقية مختلفة: العديد من الشبكات لديها IPv6 ممكّن لكنها نسيت تكوين قواعد جدار حماية IPv6. هذه مشكلة خطيرة، وهي قابلة للوقاية تماماً.

ما هو مختلف فعلياً عن أمان IPv6#

يغير IPv6 مشهد التهديد بطرق محددة:

فضاء العناوين الأكبر يقطع في الاتجاهين. مسح شبكة فرعية /64 يستغرق قروناً بالقوة الغاشمة. لكن المهاجمين لا يستخدمون القوة الغاشمة - يستخدمون سجلات DNS وسجلات شفافية الشهادات وتحليل حركة المرور للعثور على الأهداف. لا تعتمد على غموض العنوان.

كل جهاز محتمل أن يكون قابلاً للوصول. مع عناوين عالمية على كل مضيف، جدار الحماية الخاص بك هو الحاجز الوحيد. هذا يجعل تكوين جدار الحماية أكثر أهمية، وليس اختيارياً.

ICMPv6 ضروري، وليس اختيارياً. على عكس IPv4 حيث يمكنك حظر كل ICMP دون كسر الأشياء، يتطلب IPv6 ICMPv6 للعمليات الأساسية. احظر الرسائل الخاطئة وشبكتك تتوقف عن العمل.

بروتوكولات جديدة، سطح هجوم جديد. يحل بروتوكول اكتشاف الجيران (NDP) محل ARP ويقدم ناقلات جديدة. تضيف رؤوس الامتداد تعقيداً يمكن للمهاجمين استغلاله.

ناقلات الهجوم الخاصة بـ IPv6#

انتحال NDP#

يتعامل بروتوكول اكتشاف الجيران مع حل العناوين واكتشاف الموجه واكتشاف العنوان المكرر. مثل ARP في IPv4، إنه موثوق افتراضياً.

يمكن للمهاجم على الشبكة المحلية:

• انتحال إعلانات الجيران لإعادة توجيه حركة المرور (رجل في الوسط)
• إرسال إعلانات موجه مزيفة ليصبح البوابة الافتراضية
• تنفيذ هجمات اكتشاف العنوان المكرر لرفض العناوين للمضيفات الشرعية

تتطلب هذه الهجمات وصولاً للشبكة المحلية - إنها ليست تهديدات على نطاق الإنترنت. لكن على الشبكات المشتركة (المكاتب، مراكز البيانات، WiFi)، إنها مخاطر حقيقية.

التخفيف: انشر RA Guard وND Inspection على المحولات. على المضيفات، فكر في SEND (اكتشاف الجيران الآمن)، على الرغم من أن الاعتماد محدود.

هجمات إعلان الموجه#

يمكن لـ RA مارق إقناع المضيفات بـ:

• استخدام المهاجم كبوابة افتراضية
• قبول خادم DNS ضار
• استخدام بادئة محددة (محتملاً لاعتراض حركة المرور)

هذا خطير بشكل خاص لأن معظم المضيفات تقبل RAs افتراضياً.

التخفيف:

• RA Guard على منافذ المحول (احظر RAs من منافذ غير الموجه)
• على مضيفات Linux: net.ipv6.conf.all.accept_ra = 0 للخوادم مع تكوين ثابت
• راقب RAs غير متوقعة مع أدوات مثل ramond أو NDPMon

استغلال رأس الامتداد#

تجلس رؤوس امتداد IPv6 بين الرأس الرئيسي والحمولة. تشمل الاستخدامات الشرعية التجزئة وخيارات التوجيه وIPsec.

يمكن للمهاجمين استخدامها لـ:

• التهرب من جدران الحماية التي لا تفحص سلسلة الرأس الكاملة
• هجمات التجزئة لتجاوز الفحص أو ثغرات إعادة التجميع
• إنشاء حزم غامضة تفسرها أجهزة مختلفة بشكل مختلف

التخفيف: استخدم جدران حماية تحلل سلاسل رأس الامتداد بالكامل. أسقط الحزم مع رؤوس امتداد غير عادية أو مهملة (مثل رؤوس التوجيه من النوع 0، المهملة بموجب RFC 5095).

تقنيات الاستطلاع#

المهاجمون لا يفحصون /64s عشوائياً. يجدون أهداف IPv6 من خلال:

• نقل منطقة DNS أو التخمين (www، mail، ns1، إلخ)
• سجلات شفافية الشهادات (جميع شهادات HTTPS عامة)
• الحصاد من حركة المرور (المراقبة السلبية)
• عنونة يمكن التنبؤ بها (::1، ::100، بناءً على EUI-64 من MAC)

التخفيف: استخدم امتدادات الخصوصية لعناوين العميل. تجنب عناوين الخادم القابلة للتنبؤ. لا تنشر البنية التحتية الداخلية في DNS العام إذا لم يكن ذلك ضرورياً.

تكوين جدار الحماية لـ IPv6#

أنواع ICMPv6 الضرورية للسماح#

احظر هذه وشبكتك تنكسر:

الأنواع 133-136 مطلوبة فقط على الوصلة المحلية - لا تعيد توجيهها عبر الموجهات.

قواعد جدار الحماية ذي الحالة#

مجموعة قواعد أدنى لمضيف:

# السماح بالاتصالات المنشأة
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 
# السماح بـ ICMPv6 (كن أكثر تحديداً في الإنتاج)
-A INPUT -p ipv6-icmp -j ACCEPT
 
# السماح بالمحلي للوصلة فقط لـ NDP (أكثر أماناً)
-A INPUT -s fe80::/10 -p ipv6-icmp --icmpv6-type 133:136 -j ACCEPT
 
# السماح بخدمات محددة
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT
 
# إسقاط كل شيء آخر
-A INPUT -j DROP

لـ nftables، المكافئ:

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
 
    ct state established,related accept
    ip6 nexthdr icmpv6 accept
    tcp dport { 22, 443 } accept
  }
}

لا تنسَ تصفية الخروج#

قواعد الصادر مهمة أيضاً. يمكنها:

• منع تسريب البيانات عبر بروتوكولات غير متوقعة
• حظر حركة مرور القيادة والسيطرة
• تحديد الضرر من المضيفات المخترقة

كحد أدنى، سجّل الاتصالات الصادرة غير المتوقعة.

IPsec في IPv6#

كان IPsec إلزامياً أصلاً لتطبيقات IPv6 (RFC 2460). تم تخفيف هذا لاحقاً (RFC 6434) لأن النشر العالمي لم يحدث أبداً.

ومع ذلك، يجعل IPv6 IPsec أنظف:

• لا تعقيدات اجتياز NAT
• رؤوس الامتداد مصممة مع IPsec في الاعتبار
• ESP وAH تعمل كما هو مقصود

إذا كنت بحاجة إلى تشفير بين مضيفات أو مواقع محددة، IPsec على IPv6 مباشر - أكثر من IPv4 مع NAT.

ميزات أمان القفزة الأولى#

تقدم المحولات الحديثة حماية ضد الهجمات المحلية:

RA Guard: يحظر إعلانات الموجه من المنافذ غير المصرح بها. ضروري على جميع محولات الوصول.

DHCPv6 Guard: يحدد ردود خادم DHCPv6 للمنافذ المصرح بها.

ND Inspection: يبني جدول ربط لتعيينات MAC إلى IPv6 ويتحقق من حركة مرور NDP.

Source Guard: يسقط الحزم مع عناوين مصدر منتحلة بناءً على جدول الربط.

هذه الميزات متوفرة على محولات المؤسسات من Cisco وJuniper وArista وغيرها. كوّنها - إنها معطلة افتراضياً.

الأخطاء الشائعة#

تمكين IPv6 دون تكوين جدار الحماية. إذا كانت قواعد جدار الحماية الخاصة بك تغطي IPv4 فقط، فأنت مفتوح على مصراعيه على IPv6. هذه ثغرة رقم 1 في العالم الحقيقي.

حظر كل ICMPv6. يكسر هذا اكتشاف MTU للمسار ويسبب فشل اتصال غامض، خاصة للحزم الكبيرة وعبر الأنفاق.

تجاهل IPv6 على الشبكات «IPv4 فقط». معظم أنظمة التشغيل تمكّن IPv6 افتراضياً. بدون بنية تحتية مناسبة، قد تستخدم محلي للوصلة أو نفق إلى نقاط نهاية عشوائية.

افتراض أن NAT64 يوفر الأمان. تقنيات الترجمة لا تضيف أماناً. إنها فقط تترجم. لا تزال بحاجة لقواعد جدار حماية.

استخدام نفس قواعد جدار الحماية لـ IPv4 وIPv6. بعض القواعد تترجم مباشرة؛ أخرى (مثل معالجة ICMP) تحتاج اهتماماً محدداً.

قائمة تحقق الأمان#

قبل الانطلاق مع IPv6:

• قواعد جدار الحماية تغطي صراحةً حركة مرور IPv6
• السماح بأنواع ICMPv6 الضرورية
• تمكين RA Guard على محولات الوصول
• تكوين DHCPv6 Guard إذا كنت تستخدم DHCPv6
• تحديث توقيعات IDS/IPS لـ IPv6
• التسجيل يلتقط عناوين مصدر IPv6
• مراجعة سجلات DNS (لا تنشر سجلات AAAA غير ضرورية)
• تمكين امتدادات الخصوصية على العملاء
• مراقبة في مكانها لـ RAs المارقة

الملخص#

أمان IPv6 ليس أصعب من IPv4 - إنه مختلف. الأساسيات تبقى: جدران حماية ذات حالة، تحكم وصول مناسب، مراقبة، والحفاظ على الأنظمة محدّثة.

أكبر خطر ليس التعقيد التقني. إنه فترة الانتقال حيث يوجد IPv6 لكنه غير مدار بشكل صحيح. عامل IPv6 كمواطن من الدرجة الأولى في معمارية الأمان الخاصة بك، وليس فكرة لاحقة.

مقالات ذات صلة#

• جدار حماية IPv6 - دليل عملي لتكوين قواعد جدار حماية IPv6 على أنظمة مختلفة
• امتدادات خصوصية IPv6 - تعلم كيفية حماية خصوصيتك مع امتدادات الخصوصية وعناوين IPv6 المؤقتة