Безопасность IPv6: угрозы, меры защиты и лучшие практики

Миф о NAT#

Одна проблема постоянно возникает, когда организации рассматривают IPv6: «Без NAT разве мы не уязвимы?»

Нет. NAT никогда не был функцией безопасности. Это был обходной путь для дефицита адресов, который случайно скрывал внутренние адреса. Stateful файрвол обеспечивает ту же защиту — блокирует незапрошенные входящие соединения — без недостатков трансляции адресов.

Реальная проблема другая: многие сети имеют включённый IPv6, но забыли настроить правила IPv6-файрвола. Это серьёзная проблема, и она полностью предотвратима.

Что действительно отличается в безопасности IPv6#

IPv6 изменяет ландшафт угроз специфическими способами:

Большее адресное пространство работает в обе стороны. Сканирование подсети /64 занимает века грубой силой. Но атакующие не используют грубую силу — они используют DNS-записи, логи прозрачности сертификатов и анализ трафика для поиска целей. Не полагайтесь на неясность адресов.

Каждое устройство потенциально достижимо. С глобальными адресами на каждом хосте ваш файрвол — единственный барьер. Это делает конфигурацию файрвола более критичной, а не опциональной.

ICMPv6 необходим, а не опционален. В отличие от IPv4, где вы могли блокировать весь ICMP без поломки, IPv6 требует ICMPv6 для базовых операций. Заблокируйте не те сообщения, и ваша сеть перестанет работать.

Новые протоколы, новая поверхность атаки. Neighbor Discovery Protocol (NDP) заменяет ARP и вводит новые векторы. Extension headers добавляют сложность, которую атакующие могут эксплуатировать.

Векторы атак, специфичные для IPv6#

Подмена NDP#

Neighbor Discovery Protocol обрабатывает разрешение адресов, обнаружение маршрутизатора и обнаружение дубликатов адресов. Как ARP в IPv4, он доверчив по умолчанию.

Атакующий в локальной сети может:

• Подделывать Neighbor Advertisements для перенаправления трафика (man-in-the-middle)
• Отправлять поддельные Router Advertisements для становления шлюзом по умолчанию
• Выполнять атаки Duplicate Address Detection для отказа в адресах легитимным хостам

Эти атаки требуют доступа к локальной сети — это не угрозы масштаба интернета. Но в общих сетях (офисы, дата-центры, WiFi) это реальные риски.

Меры защиты: Развёртывайте RA Guard и ND Inspection на коммутаторах. На хостах рассмотрите SEND (Secure Neighbor Discovery), хотя внедрение ограничено.

Атаки Router Advertisement#

Мошеннический RA может убедить хосты:

• Использовать атакующего как их шлюз по умолчанию
• Принять вредоносный DNS-сервер
• Использовать специфический префикс (потенциально для перехвата трафика)

Это особенно опасно, потому что большинство хостов принимают RA по умолчанию.

Меры защиты:

• RA Guard на портах коммутатора (блокировать RA с не-маршрутизаторных портов)
• На Linux-хостах: net.ipv6.conf.all.accept_ra = 0 для серверов со статической конфигурацией
• Мониторьте неожиданные RA с инструментами вроде ramond или NDPMon

Эксплуатация Extension Headers#

Extension headers IPv6 находятся между основным заголовком и полезной нагрузкой. Легитимные использования включают фрагментацию, опции маршрутизации и IPsec.

Атакующие могут использовать их для:

• Обхода файрволов, которые не проверяют полную цепь заголовков
• Атак фрагментации для обхода проверки или уязвимостей пересборки
• Создания неоднозначных пакетов, которые разные устройства интерпретируют по-разному

Меры защиты: Используйте файрволы, которые полностью парсят цепи extension headers. Отбрасывайте пакеты с необычными или устаревшими extension headers (такими как Type 0 Routing Headers, устаревшими по RFC 5095).

Техники разведки#

Атакующие не сканируют /64 случайно. Они находят IPv6-цели через:

• Передачу DNS-зон или угадывание (www, mail, ns1 и т.д.)
• Логи прозрачности сертификатов (все HTTPS-сертификаты публичны)
• Сбор из трафика (пассивный мониторинг)
• Предсказуемую адресацию (::1, ::100, EUI-64 на основе MAC)

Меры защиты: Используйте расширения приватности для клиентских адресов. Избегайте предсказуемых серверных адресов. Не публикуйте внутреннюю инфраструктуру в публичном DNS, если не нужно.

Конфигурация файрвола для IPv6#

Обязательные типы ICMPv6 для разрешения#

Заблокируйте их, и ваша сеть сломается:

Типы 133-136 нужны только на локальном канале — не пересылайте их через маршрутизаторы.

Правила Stateful файрвола#

Минимальный набор правил для хоста:

# Разрешить установленные соединения
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 
# Разрешить ICMPv6 (будьте конкретнее в production)
-A INPUT -p ipv6-icmp -j ACCEPT
 
# Разрешить link-local только для NDP (безопаснее)
-A INPUT -s fe80::/10 -p ipv6-icmp --icmpv6-type 133:136 -j ACCEPT
 
# Разрешить специфичные сервисы
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT
 
# Отбросить всё остальное
-A INPUT -j DROP

Для nftables эквивалент:

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
 
    ct state established,related accept
    ip6 nexthdr icmpv6 accept
    tcp dport { 22, 443 } accept
  }
}

Не забывайте фильтрацию исходящих#

Исходящие правила тоже важны. Они могут:

• Предотвращать утечку данных по неожиданным протоколам
• Блокировать command-and-control трафик
• Ограничивать ущерб от скомпрометированных хостов

Как минимум, логируйте неожиданные исходящие соединения.

IPsec в IPv6#

IPsec изначально был обязательным для IPv6-реализаций (RFC 2460). Это было позже смягчено (RFC 6434), потому что универсальное развёртывание так и не произошло.

Тем не менее, IPv6 делает IPsec чище:

• Нет осложнений NAT traversal
• Extension headers спроектированы с учётом IPsec
• ESP и AH работают как задумано

Если вам нужно шифрование между специфическими хостами или сайтами, IPsec на IPv6 прост — проще, чем на IPv4 с NAT.

Функции безопасности первого хопа#

Современные коммутаторы предлагают защиту от локальных атак:

RA Guard: Блокирует Router Advertisements с неавторизованных портов. Необходим на всех access-коммутаторах.

DHCPv6 Guard: Ограничивает ответы DHCPv6-сервера авторизованными портами.

ND Inspection: Строит таблицу привязок MAC-к-IPv6 и валидирует NDP-трафик.

Source Guard: Отбрасывает пакеты с поддельными адресами источника на основе таблицы привязок.

Эти функции доступны на корпоративных коммутаторах от Cisco, Juniper, Arista и других. Настройте их — они отключены по умолчанию.

Распространённые ошибки#

Включение IPv6 без настройки файрвола. Если ваши правила файрвола покрывают только IPv4, вы широко открыты на IPv6. Это уязвимость номер 1 в реальном мире.

Блокировка всего ICMPv6. Это ломает Path MTU Discovery и вызывает таинственные отказы связности, особенно для больших пакетов и через туннели.

Игнорирование IPv6 в «IPv4-only» сетях. Большинство операционных систем включают IPv6 по умолчанию. Без правильной инфраструктуры они могут использовать link-local или туннелировать к случайным конечным точкам.

Предположение, что NAT64 обеспечивает безопасность. Технологии трансляции не добавляют безопасности. Они просто транслируют. Вам всё ещё нужны правила файрвола.

Использование одинаковых правил файрвола для IPv4 и IPv6. Некоторые правила переводятся напрямую; другие (например, обработка ICMP) нуждаются в специфическом внимании.

Чеклист безопасности#

Перед запуском IPv6 в production:

• Правила файрвола явно покрывают IPv6-трафик
• Разрешены необходимые типы ICMPv6
• RA Guard включён на access-коммутаторах
• DHCPv6 Guard настроен, если используется DHCPv6
• IDS/IPS сигнатуры обновлены для IPv6
• Логирование захватывает IPv6 адреса источников
• DNS-записи проверены (не публикуйте ненужные AAAA-записи)
• Расширения приватности включены на клиентах
• Мониторинг на месте для мошеннических RA

Резюме#

Безопасность IPv6 не сложнее, чем IPv4 — она другая. Основы остаются: stateful файрволы, правильный контроль доступа, мониторинг и поддержание систем в актуальном состоянии.

Самый большой риск — не техническая сложность. Это переходный период, где IPv6 существует, но не управляется должным образом. Относитесь к IPv6 как к гражданину первого класса в вашей архитектуре безопасности, а не как к запоздалой мысли.

Связанные статьи#

• Файрвол IPv6 — Практическое руководство по настройке правил файрвола IPv6 на различных системах
• Расширения приватности IPv6 — Узнайте, как защитить вашу приватность с помощью расширений приватности и временных IPv6-адресов