※ 引述《ggg12345 (ggg)》之銘言： : 如果隔離也要作用於 v6, 那就是要讓 6to4 router 或 native v6 : router 兼負 v6 的 NAT 作用, 此時只要 V6 router 對內通告產生的 : ipv6 address 與對外出示的 v6 ip-address 做 address translation : 的對照轉換就能防止外部機器直接與內部 V6 站來往, 也就是 V6 V4 : 各自有其 NAT , 都能防止外部直接來往, 若是 v6 孤島就可利用 V4 : NAT 的 public-ipaddress 進行 6to4 tunnel 的銜接. : 這種不擊穿 firewall 的 6to4 NAT 才是大家可接受的規格吧! : 就稱呼這種裝置為 V6-aware/passthru NAT. 我提供一個另外的想法 1.IPv4下個NAT主要是,內對外啟動的session和port對應的關係. 強調的是對外直接封鎖所有的port和內部的對應(因為一開始根本沒有對應) 所以外面的測試攻擊打不進來. 2.同理,比較簡單的方式其實就是在6to4 router上加上防火牆功能. 關閉由外對內的主動連線. (不管是指針對IPv4 or 等6to4解回ipv6後來擋) PS:如果是想要隱藏實際的IPv6位址,用臨時的IPv6位址 microsoft已經在作業系統中實作了,可以避免使用 EUI-64產生的固定IP在外留下紀錄 個人的偏好是,IPv6是想重新恢復網路的末端通透性 (回到每個點都是真實IP,理論上很多問題都會變簡單...理論啦) 如果想要擋,就乖乖用Firewall功能擋吧~ XD --

※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 203.145.202.144