Názor k článku Botnet proskenoval celý internet: používá se jen třetina IPv4 adres od Robert Bilka - Snad již přestanou ve firmách zbytečně používat NAT...

  • Článek je starý, nové názory již nelze přidávat.
  • 19. 11. 2015 16:54

    Robert Bilka (neregistrovaný)

    Snad již přestanou ve firmách zbytečně používat NAT jako bezpečnostní omezující prvek, a více se budou věnovat konfiguraci centrálních firewallů, které se jak v případě IPv4 tak i v případě IPv6 mají výhradně starat o to, která služba je dostupná ze které sítě, a pro které sítě.

    U IPv4 pokud je zdrojová IP (stanice) schovaná za několika FW které dělají různé NAT překlady, pak nelze tuto zdrojovou stanici omezit (z pohledu stanice) na nejvzdálenějším FW, protože ta informace tam zkrátka není.
    Jinak řečeno, IPv6 umožní lepší identifikaci zdrojové stanice kdekoli po cestě pro potřeby "zaříznutí" komunikace.

    Co se týče "anonymity" jako důvod pro využití NATu:
    Při IPv6 je možné na danou službu pověsit tisícky veřejných manuálně vytvořených IPv6 adres, a každá služba pak pro komunikaci ven používá jinou zdrojovou IPv6 (ze stejného SUBNETU). Dokonce je možné nechat generovat IPv6 adresy dynamicky. Výhoda je jasná, IPv6 adresa pro "brouzdání" na WEB stránkách se může časově nebo dokonca "per session" měnit. Pokud někdo tuto adresu zaznamená, a chce provést na ní nějaký útok, za pár vteřin nebo minut již nemusí vůbec existovat. A pokud by ještě existovala, nenaslouchá na ní žádná služba.
    Také skenovat konkrétní jediný subnet (/64) z této IPv6 adresy aby útočník zjistil, jaká je nové IPv6 adresa toho zařízení, je nereálné, to je větší rozsah IPv6 (/64) device address, než má celý rozsah IPv4!