PPPoE IPv6-PD SLAAC 模式下如何实现服务端口转发？

2021 年 7 月 13 日
 acbot
为了服务器的安全性我们很多时候会修改常用服务器端口，在 IPv4 中可以用 iptables -t nat -i prerouting -i pppoe-wan -p tcp --dport 10022 -j DNAT --to-destination 10.0.0.1:22 这样的规则进行端口转发 实现应用内外端口不一样那么在 PPPoE IPv6-PD SLAAC 模式环境中如何用 ip6tables 现实类似的功能
2800 次点击
所在节点    宽带症候群
19 条回复
HDman
2021 年 7 月 14 日
不要用 IPV4 的思维去思考 IPV6
datou
2021 年 7 月 14 日
直接修改服务[::]的监听端口
winmin
2021 年 7 月 14 日
如果开通 ipv6 分配了，内网服务器应该是分配到的是公网 IPv6 了，可以直接访问，要知道特定端口则直接指定端口就好。如果内网的 ipv6 机器只能出站，不能被远程访问，那一般是路由限制了外网对内网 ipv6 的限制，openwrt 默认禁止了外网 ipv6 链接通过，修改防火墙就好
ericww
2021 年 7 月 14 日
ip6tables -t nat -I PREROUTING -p udp --dport 12345 -j DNAT --to [abcd::1234]:23456
ip6tables -I INPUT -p udp --dport 12345 -j ACCEPT
acbot
2021 年 7 月 14 日
@HDman 主要是为了防止常用端口扫描和暴力破解 v4 v6 都有这个问题
acbot
2021 年 7 月 14 日
@datou 这个方法应该是 没有其他办法情况下的无奈之举
acbot
2021 年 7 月 14 日
@winmin 这里主要的问题不是如何开放端口的问题 而是为了防止常用端口扫描和暴力破解 所以想把对外的端口改一下 内外不同
acbot
2021 年 7 月 14 日
@ericww [abcd::1234]:23456 这个 abcd 也就是 IPv6-PD 变化的情况有没有办法解决 如果能解决就完美了
winmin
2021 年 7 月 14 日
@acbot 既然你都利用路由转发了，为啥要转公网的 v6 地址呢，转固定的 ipv6 link 地址就好了
acbot
2021 年 7 月 14 日
@winmin 重点是内外端口不同 地址前缀是其次的问题
ericww
2021 年 7 月 14 日
@acbot 不是有 ULA 吗？
ericww
2021 年 7 月 14 日
@acbot 为什么端口扫描和暴力破解的问题需要用 NAT 解决？换个思路不要局限，在 ipv4 资源丰富的地区也没有 NAT 啊。
qbqbqbqb
2021 年 7 月 14 日
如果只是改端口的话，应该可以用 REDIRECT 规则来时间
qbqbqbqb
2021 年 7 月 14 日
@qbqbqbqb 更正一下，REDIRECT 会将数据包重定向到本机，所以如果配置在路由器上就不管用了。

还是只能用 DNAT 。如果前缀不固定的话，可以给内网配置一个 ULA 前缀，重定向的时候用 ULA 作为目的地址。
acbot
2021 年 7 月 15 日
@ericww 思路是有，直接指在 v4 下用更简单，其实这里更多的是想研究 v6 下有没有类似的实现。
acbot
2021 年 7 月 15 日
@qbqbqbqb “重定向到本机” 服务和路由在一台机器接口上 为什么不行呢？
leoyzen
2021 年 7 月 16 日
思路就错了。IPv6 按照防火墙暴露公网，只暴露对应端口不就没有端口扫描等问题了吗，也谈不上安全问题。防火墙也支持动态 prefix 的 prefix
acbot
2021 年 7 月 16 日
@leoyzen zheli 可能是我描述得不够清楚，端口扫描是次要的，修改常用端口号防止非必要的访问或者暴力攻击和破解才是需求！
leoyzen
2021 年 7 月 17 日
@acbot 如果一定要这么搞，那就 4 楼的 ip6table 转发到内网 link_local 地址，避免动态前缀的问题

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://study.congcong.us/t/789283

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX