Vlákno názorů k článku IPv6: konec místních adres od xxx - Myslím, že ve firemním zájmu není aby firemní...

Myslím, že ve firemním zájmu není aby firemní počítače byly dostupné jen tak kdekomu z internetu přes veřejné IP adresy.
Ještěže tu máme NAT.

Od toho jsou firewally. Ty pocitace nebudou dostupne primo i kdyz budou mit verejnou IP adresu. To ze se nepouzije NAT neznamena ze sit bude otevrena vsem.

Jenomže je tady jeden podstatný rozdíl. Počítač s adresou 10.0.0.1 nemůže být nikdy dostupný z Internetu, zatímco dostupnost počítače s adresou třeba 194.194.194.194 bude záviset jen na nastavení firewallu - a to může býz závažný bezpečnostní problém, může být špatně nastaven, vypnut, vyhackován, může se v něm objevit nějaké nežádoucí chování při příjmu nějakých úmyslně deformovaných paketů - a to znamená podstatně nižší bezpečnost.

To by jste se asi moc divil. Pokud nemate FW + NAT spravne nastaven, neni problem se dostat i pres ten NAT dovnitr. Kdyz totiz na tu vasi verejnou IP prijde pozadavek s cilovou adresou ktera ve vasi siti existuje, tak ji defaultne router, bez ohledu na to ze je to privatni adresa, odroutuje.

Takze bezpecnost = v kazdem pripade FW. Mimochodem, z mista kde ted sedim projde pozadavek na cilovou privatni adresu pres 5 dalsich hoopu nez je odfiltrovan (pokud vypnu vlastni filtr na brane). Za to muze default routa a nulove filtrovani cestou (kvuli tomu mi tu taky beha spousta paketu s privatnima adresama :(, hlavne M$ pozadavky na portech 137 a spol. ).

Ale Petre,

pocitac s adresou z rozsahu definovanym RFC 1918 klidne z Internetu dostupny byt muze. Staci spatna konfigurace na strane zakaznika a spatny nebo zadny filtr na rozhrani u ISP.

To, ze si nekdo neumi naklikat pravidla do firewallu by nemelo byt zaminkou k tomu, aby se preklad adres vydaval za (nebo dokonce pouzival jako) bezpecnostni opatreni.

Hloupe je, ze s opustenim site-local adres odpadl jeden ze zpuspobu, jak inteligentne provozovat IPv6 v CZfree.Net bez toho, ze by ta sit byla zavisla na jednom ISP nebo musela sama platit za LIR.

Ale kdyz se kaci les a znasilnuji spravkyne, holt litaji trisky.

Nazdar Michale, souhlasím s tím, že použít jako bezpečnsotní opatření pouze NAT není rozumné, na druhou stranu aspoň mezi ISP se RFC-1918 adresy neroutují (uvnitř to opravdu může být různé), stejně ale na každém hraničním i zákaznickém routeru musí být něco jako:

deny ip 10.0.0.0 0.255.255.255 any
deny ip 172.16.0.0 0.15.255.255 any
deny ip 192.168.0.0 0.0.255.255 any
deny ip 224.0.0.0 15.255.255.255 any
deny ip 240.0.0.0 15.255.255.255 any
deny ip 0.0.0.0 0.255.255.255 any
deny ip 169.254.0.0 0.0.255.255 any
deny ip 192.0.2.0 0.0.0.255 any
deny ip 127.0.0.0 0.255.255.255 any

vždyť to je malá násobilka v nastavování routerů, ne?

Všiml jsem si, že se začíná konečně rozmáhat i filrování paketů kde je nejenom destination address z rozsahu RFC-1918, ale i source address.

Právě to pouhé naklikání firewallu může být nebezpečné - resp. jen tak bezpečné, jako je firewall sám. Žádný software není bez chyby a tak kombinace bezpečnostních opatření může bezpečnost reálně zvýšit.

Právě to pouhé naklikání firewallu může být nebezpečné - resp. jen tak bezpečné, jako je firewall sám. Žádný software není bez chyby a tak kombinace bezpečnostních opatření může bezpečnost reálně zvýšit.

K tomuto tvrzeni mam dve vyhrady.

1. Preklad adres neni bezpecnostni opatreni (a nikdy jim nebyl)
2. Kombinace bezpecnostnich opatreni IMHO obvykle bezpecnost chraneneho systemu snizuje. Bezpecnost se muze i zvysit, nicmene chce to peclive planovani.

Abych se držel tématu článku, spíš než překlad adres by možná bylo lepší říct použití privátních adres, ten překlad tam vůbec nemusí být, dají se třeba použít proxy.

Snížení nebo zvýšení bezpečností záleží samozřejmě na architektuře. Pokud třeba nainstaluji na XP 10 různých ochranných softů, a připojím je přímo do Internetu, tak tím bezpečnost snížím. Pokud zřetězím bezpečnostní prvky za sebou, tak ji zvýším. No a pak je tu i lidký faktor. Koneckonců, je o tom hromada tlustch knih, že.

A pak prijde MS a pokud jsem se dobre dival, tak ICMP je v SP2 defaultne zakazane (a mohl jsem si vybrat zpravy, ktere povolim)... tento "firewall" letel rovnou z aktivnich sluzeb... takze hura do zisku firem zabyvajici se zabezpecenim na sitove vrstve...:-)

Defaultne tezko. KAZDA vzorova konfigurace NATu, kterou jsem kdy videl, zahazuje privatni adresy prisle zvenku.