J'aimerais passer du réseau privé IPv4-subnet-behind-NAT à IPv6, mais je n'ai évidemment pas l'intention d'exposer les postes de travail de mes utilisateurs "sans protection" au réseau.
Quelques points évidents dès le départ :
Existe-t-il un guide de configuration de pare-feu recommandé qui parle des détails et des expériences de telles configurations ?
Les conseils sont en grande partie identiques aux configurations de pare-feu public-IPv4-subnet-behind que nous avons eues dans l'espace .EDU depuis le début de l'Internet commercial. Puisque les premières allocations de sous-réseaux .EDU étaient plutôt généreuses (mon ancien travail a une allocation IPv4 /16, et je connais une autre institution de notre taille qui a un /16 et un autre /18 pour faire bonne mesure), ces institutions ont une grande expérience de la protection des adresses IP publiquement routables derrière des pare-feu. C'est d'ailleurs ce que les créateurs de l'IP avaient en tête à l'origine.
Les principes (de mémoire) :
Une courte liste, je sais. Mais le principe de base des pare-feu, qui remonte à 20 ans, est le même : n'autoriser l'accès qu'aux combinaisons IP:port que vous souhaitez autoriser, refuser tout le reste.
Si vos règles consistaient jusqu'à présent en "uniquement le trafic initié en interne" (NAT) avec quelques exceptions pour les services publiés (redirection de port), vous pouvez vous en tenir à cela et simplement le transférer vers IPv6.
Vous aurez des implications supplémentaires avec les capacités de tunneling et de cryptage qui viennent avec la v6 que vous voudrez aborder, mais en général, tout ce qui s'appliquait à la v4 s'applique toujours à la v6. Lecture recommandée : Construction de pare-feu Internet (Zwicky, Cooper, Chapman).
En plus des réponses fournies ici, vous devriez consulter les documents suivants RFC 4890 qui présente une grande partie des informations que vous devez comprendre sur ICMP6 à travers les pare-feu. Consultez également le site de Google Centre d'information IPv6
SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.
