在关闭光猫、路由器IPv6防火墙后可能遇到的安全问题

2023-08-02 15:51 作者:ie-12 0人读过 | 我要投稿

1.背景信息

随着IPv6的不断普及
目前三大运营商基本都已经提供了IPv6

IPv6 拥有海量的地址数一般不需要NAT转换
传输效率提升不需要开通“公网”
“公网地址”直接分配到设备
对bt下载开放端口提供了极大的便利

2.遇到的问题

但大部分的光猫和路由器对IPv6的管理还不完善
确切的来说是IPv6防火墙的管理不够完善
一般只有开和关两个选项
开启后会拦截所以主动入站流量即所以从外部主动发起的连接
而关闭后则不会有任何过滤作用
无法精确的开放端口
为了开放IPv6端口供bt软件使用
我们目前在光猫/路由器上只能关闭整个IPv6防火墙

3.1网络攻击

在家庭网络环境中较常遇到是端口扫描攻击和暴力破解攻击

端口扫描 用于探测哪些端口上有程序正在运行
若发现可以用于获取用户数据或者设备控制权的程序
则会尝试暴力破解密码进行登录

若被扫描的端口上没有程序正在监听则不会有危险
安卓手机一般不会开启对外服务不太需要担心
像bt客户端这类不能直接访问用户数据获取设备控制权的程序
则不需要太担心

需要注意下列这些类型的服务
其被破解后可能会造成数据泄露和设备被控制等风险
Windows远程桌面 SMB文件共享 NAS管理界面网络摄像头 SSH登录等

3.2 IPv6相比IPv4的安全优势

（1）巨大的地址数量
巨大的地址空间使得逐个地址的扫描难以实现

（2）隐私扩展协议
在IPv6中，原本使用EUI-64标识生成IPv6地址

其是基于网络适配器的MAC地址，这使得设备的全球唯一标识与其网络通信的IPv6地址相关联，但可能泄露用户的位置和设备信息。

为了提高隐私保护，引入了一种临时地址生成机制。

在IPv6隐私扩展协议中，设备会生成临时IPv6地址，这些地址与设备的MAC地址无关，且定期更换。
这样一来，设备的真实标识与其通信地址的关联性就被削弱，从而增强了用户的隐私保护。

IPv6隐私扩展协议有两种形式：

临时地址（Temporary Address）：由设备生成临时的IPv6地址，与其MAC地址无关。这些地址在设备连接到网络时动态生成，
并在一定时间后过期。每次重新连接到网络时，设备会生成新的临时地址。

随机地址（Random Address）：与临时地址类似，但使用了随机数生成更为随机的地址，进一步增强了隐私保护。

在大多数现代操作系统中，如Windows、Linux和macOS，IPv6隐私扩展协议默认是启用的，以增强用户的网络隐私保护。

3.2 防护手段

在ipv4时主要依靠NAT
流量需要通过NAT处理后到达内网设备
内网设备隐藏在NAT后外网设备是无法直发现内网设备
若没有设置转发规则以开放端口这些从外部发起的扫描会被直接丢弃
不需要太担心 防火墙的存在感被弱化了
我们习惯了NAT的保护以至于快忘记了防火墙的必要性

而在IPv6中一般没有NAT 主要依靠防火墙
包括光猫/路由器上的IPv6防火墙
和终端设备上的防火墙

默认情况下光猫/路由器上的IPv6防火墙是开启的
会拦截所有IPv6主动入站流量也不需要太担心

但由于之前所说的路由/光猫IPv6防火墙的管理不够完善
为了开放IPv6端口供bt软件使用
我们目前在光猫/路由器上只能关闭整个IPv6防火墙
这样一来在路由设备上的防护就没有了

需要依靠终端设备上的防火墙拦截
或者使这些有风险的服务不监听IPv6地址

若使用软路由可以对IPv6防火墙进行更细致的控制可开放单个端口
目前已知硬路由中华硕路由器可以在IPv6防火墙中开放单个端口

请不要关闭终端设备上的防火墙

4. 目标与总结

从个人的经验和防火墙拦截记录来看
端口扫描的发起源主要是ipv4地址
而IPv6的几乎没有

在巨大的地址数量和隐私扩展协议的加持下
IPv6地址是不太容易被发现的

但在bt下载时向tracker服务器汇报ip以及与
其他DHT节点信息交换使得IPv6地址依然有可能被发现
仍需做好防护准备用防火墙“关闭”那些可能有危险的端口
只要配置正确就不会有安全问题

目标：在已经关闭路由设备IPv6防火墙的情况下设置好终端防火墙
以防止意料之外的连接

5.Windows 防火墙配置示例

在Windows上主要是封堵一些高危端口
TCP 135 139 445 3389
UDP 137 138

这些用于网络共享功能和远程调用
以及远程桌面的端口一般被视为高危端口

不过其中 139 137 138 为NetBIOS服务使用的端口
其在IPv6已经不使用了它们不会在IPv6地址上进行监听

我们需要注意的是
TCP 135 445 3389

135 用于 Windows远程调用
3389 用于Windows远程桌面
445 用于smb文件共享

TCP 135和445端口默认只允许本地子网访问

3389 TCP 端口用于远程桌面服务
防火墙上的默认规则允许所有地址访问需要注意

教程将展示通过配置Windows防火墙
阻止公网IPv6访问3389端口

搜索栏搜索 检查防火墙状态 并打开

检查防火墙是否启用

并点击左侧的高级设置以打开高级widows防火墙

高级Windows防火墙

查看防火墙属性

检查 公用网络配置 和 专用网络配置
状态中的选项均为默认

添加规则
Windows防火墙上的远程桌面默认规则
是允许所有地址访问的
通过添加规则 禁止使用公网IPv6连接到3389端口

选择入站规则

新建规则

选择自定义规则

保持默认

协议选择TCP
本地端口选择 特定端口
端口号 3389

远程IP 选择 下列IP地址
并点击添加

填写 2000::/3
此为 IPv6全球单播地址的前缀
可以理解为匹配所有公网IPv6地址
曾经尝试使用 :: 进行匹配但并不成功其表示所有IPv6地址
IPv6前缀划分：https://www.iana.org/assignments/ipv6-address-space/ipv6-address-space.xhtml