👸🏽 👩🏼‍💼 📯 कैसे IPv6 राउटर्स ब्रेक में मदद करता है ℹ️ 🆕 🕣

प्रस्तावना

मैं आज इस सोच के साथ जाग गया कि NAT को कॉन्फ़िगर करने के लिए निर्देशों की एक बड़ी संख्या को फ़ॉर्म की एक पंक्ति का उपयोग करने की सलाह दी जाती है:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

कई इस डिजाइन की समस्याओं को समझते हैं, और उन्हें जोड़ने की सलाह दी जाती है:

 iptables -A FORWARD -i ppp0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT

लेकिन, अक्सर, वे डिफ़ॉल्ट DROP कार्रवाई के लिए FORWARD तालिका सेट करना भूल जाते हैं, या तालिका के अंत में REJECT नियम जोड़ते हैं।

पहली नज़र में, सब कुछ सामान्य लग रहा है। हालांकि, यह मामले से बहुत दूर है। तथ्य यह है कि यदि आप WAN पोर्ट से WAN पोर्ट के लिए रूटिंग ट्रैफ़िक पर प्रतिबंध नहीं लगाते हैं, तो आपके WAN नेटवर्क से कोई व्यक्ति (मान लीजिए कि प्रदाता एक / 24 को पूरा प्रवेश द्वार सेट करता है) बस आपके आईपी को पंजीकृत करके आपके माध्यम से ट्रैफ़िक को रूट कर सकता है एक प्रवेश द्वार के रूप में। सभी आधुनिक SOHO राउटर इसे ध्यान में रखते हैं, लेकिन अनुभवहीन व्यवस्थापक जो सामान्य लिनक्स के तहत राउटर बनाता है, वह इसके बारे में नहीं जानता या भूल सकता है। मेरे प्रदाता के सबनेट में ऐसे कोई राउटर नहीं थे, और दुनिया को संभालने की मेरी योजना विफल हो गई। हालाँकि, लेख उस बारे में बिल्कुल नहीं है।

जादुई कॉलन

जैसा कि आप जानते हैं, कई आधुनिक कार्यक्रम और सेवाएं आईपी :: (दो कॉलन) से बंधी हुई हैं , और 0.0.0.0 तक नहीं, जैसा कि पहले था। IPv6 पता :: का अर्थ IPv4 0.0.0.0 के समान है, अर्थात "सभी इंटरफेस को सुनो"। बहुत से लोग सोचते हैं कि यदि कोई कार्यक्रम :: सुनता है, तो यह सॉकेट केवल IPv6 कनेक्शन को स्वीकार कर सकता है, लेकिन यह मामले से बहुत दूर है।

IPv6 में, IPv6 श्रेणी के लिए IPv4 पतों की तथाकथित मैपिंग है। यदि प्रोग्राम सॉकेट पर सुनता है :: और IPv4 पते 1.2.3.4 से एक्सेस किया जाता है, तो प्रोग्राम को पते से एक कनेक्शन प्राप्त होगा :: ffff: 1.2.3.4 । ऐसा करने से बचा जा सकता है:

 sysctl -w net.ipv6.bindv6only=1

लेकिन यह हमेशा आवश्यक नहीं है, क्योंकि यह आमतौर पर सुविधाजनक है कि कार्यक्रम एक सॉकेट पर सुनता है, और एक बार में दो प्रोटोकॉल के माध्यम से कनेक्शन प्राप्त कर सकता है। लगभग सभी वितरणों में, आईपीवी 6 सॉकेट केवल उसी तरह व्यवहार करते हैं, अर्थात्। bindv6only = 0।

fe80 और उसका दोस्त ff02

यदि आप 90 के दशक में फंस नहीं रहे हैं, तो आपको आईपीवी 6 से खुद को जानने के बिना मुठभेड़ करने की गारंटी है। पूरी तरह से सभी आधुनिक ऑपरेटिंग सिस्टमों में, IPv6 का समर्थन डिफ़ॉल्ट रूप से सक्षम है, जिसका अर्थ है कि प्रत्येक इंटरफ़ेस (दुर्लभ अपवादों को छोड़कर) के लिए, IPv6 लिंक-स्थानीय पता स्वचालित रूप से असाइन किया जाता है जो fe80 :: से शुरू होता है। इसके अलावा, कुछ मामलों में, यह पता केवल मैक पते को एन्कोडिंग द्वारा प्राप्त किया जाता है।

ऐसा लगता है कि लिंक-स्थानीय पते ढूंढना समस्याग्रस्त होना चाहिए, लेकिन वे अभी भी लंबे और डरावने हैं, लेकिन यहां मल्टीकास्ट रेंज ff02 :: हमारी सहायता के लिए आता है।

ऐसा शांत पता है: ff02 :: 1 । यदि आप इसे पिंग करते हैं (इंटरफ़ेस को इंगित करना सुनिश्चित करें, क्योंकि यह लिंक स्थानीय पता है), तो नेटवर्क के सभी कंप्यूटर जवाब देंगे:

 % ping6 ff02::1%enp4s0 PING ff02::1%enp4s0(ff02::1) 56 data bytes 64 bytes from fe80::21f:d0ff:fea2:46a3: icmp_seq=1 ttl=64 time=0.056 ms 64 bytes from fe80::fe8b:97ff:fe66:9100: icmp_seq=1 ttl=64 time=1.60 ms (DUP!) 64 bytes from fe80::226:9eff:fe6d:22a0: icmp_seq=1 ttl=64 time=1.62 ms (DUP!) 64 bytes from fe80::f2de:f1ff:fe27:3685: icmp_seq=1 ttl=64 time=1.70 ms (DUP!) 64 bytes from fe80::62a4:4cff:fe7b:1c90: icmp_seq=1 ttl=64 time=2.95 ms (DUP!) 64 bytes from fe80::fac0:91ff:fe32:5bbe: icmp_seq=1 ttl=64 time=3.02 ms (DUP!) 64 bytes from fe80::226:18ff:fe9e:4b3a: icmp_seq=1 ttl=64 time=3.09 ms (DUP!) 64 bytes from fe80::ba70:f4ff:fe8b:8dda: icmp_seq=1 ttl=64 time=3.14 ms (DUP!) 64 bytes from fe80::62a4:4cff:fea2:aee0: icmp_seq=1 ttl=64 time=3.27 ms (DUP!) 64 bytes from fe80::224:54ff:fedb:d17d: icmp_seq=1 ttl=64 time=3.93 ms (DUP!) 64 bytes from fe80::2a1:b0ff:fe40:904: icmp_seq=1 ttl=64 time=4.21 ms (DUP!) 64 bytes from fe80::76d0:2bff:fe69:31d8: icmp_seq=1 ttl=64 time=6.09 ms (DUP!)

जैसा कि हम देख सकते हैं, 11 उपकरणों ने जवाब दिया। वैसे, यह पता उपयोग करने के लिए बहुत सुविधाजनक है, उदाहरण के लिए, आपके पास डीएचसीपी के माध्यम से एक पता प्राप्त करने के लिए कॉन्फ़िगर किया गया सर्वर है, और डीएचसीपी गिर गया है, या यदि आप सीधे सर्वर पोर्ट से जुड़े हैं, लेकिन आप डीएचसीपी को उठाना नहीं चाहते हैं। आपको बस s80 पर fe80 एड्रेस पर जाना है।

यदि आप पता ff02 :: 2 पिंग करते हैं , तो नेटवर्क पर सभी IPv6 राउटर जवाब देंगे। दुर्भाग्य से, मेरे मामले में कोई नहीं थे।

हम राउटर स्कैन करते हैं

मैंने इन पतों को नैम्प के माध्यम से स्कैन करने का निर्णय लिया, और यही हुआ:

 % nmap -6 -T4 --open -n -iL list.txt

छिपा हुआ पाठ

 Starting Nmap 6.46 ( http://nmap.org ) at 2014-06-07 16:53 MSK Nmap scan report for fe80::f2de:f1ff:fe27:3685 Host is up (0.0014s latency). Not shown: 999 closed ports PORT STATE SERVICE 53/tcp open domain Nmap scan report for fe80::fe8b:97ff:fe66:9100 Host is up (0.0012s latency). Not shown: 998 closed ports PORT STATE SERVICE 53/tcp open domain 80/tcp open http Nmap scan report for fe80::226:9eff:fe6d:22a0 Host is up (0.0012s latency). Not shown: 998 closed ports PORT STATE SERVICE 53/tcp open domain 80/tcp open http Nmap scan report for fe80::62a4:4cff:fea2:aee0 Host is up (0.00099s latency). Not shown: 999 closed ports PORT STATE SERVICE 23/tcp open telnet Nmap scan report for fe80::226:18ff:fe9e:4b3a Host is up (0.00094s latency). Not shown: 999 closed ports PORT STATE SERVICE 23/tcp open telnet Nmap scan report for fe80::62a4:4cff:fe7b:1c90 Host is up (0.00085s latency). Not shown: 999 closed ports PORT STATE SERVICE 23/tcp open telnet Nmap scan report for fe80::76d0:2bff:fe69:31d8 Host is up (0.00072s latency). Not shown: 999 closed ports PORT STATE SERVICE 23/tcp open telnet Nmap scan report for fe80::fac0:91ff:fe32:5bbe Host is up (0.00037s latency). Not shown: 999 closed ports PORT STATE SERVICE 23/tcp open telnet Nmap scan report for fe80::ba70:f4ff:fe8b:8dda Host is up (0.00059s latency). Not shown: 999 closed ports PORT STATE SERVICE 23/tcp open telnet Nmap scan report for fe80::2a1:b0ff:fe40:904 Host is up (0.00077s latency). Not shown: 999 closed ports PORT STATE SERVICE 23/tcp open telnet Nmap scan report for fe80::224:54ff:fedb:d17d Host is up (0.0012s latency). Not shown: 999 closed ports PORT STATE SERVICE 23/tcp open telnet Nmap done: 11 IP addresses (11 hosts up) scanned in 4.04 seconds

IPv4 पर, ये सभी पोर्ट बंद हैं।

जैसा कि हम देख सकते हैं, कई राउटरों में टेलनेट, एक वेब इंटरफेस और बाहर से IPv6 के माध्यम से DNS हैं।

इसका क्या मतलब है? यह सरल है - राउटर के फर्मवेयर के डेवलपर्स केवल आईपीवी 6 के बारे में भूल गए।

ओपन टेलनेट रूटर्स:

ASUS RT-N10 (2.0.3.2)
ASUS RT-G32
ASUS RT-G32.C1 (2.0.2.6)
उपर यूआर -312 एन 4 जी

वेब-आधारित रूटर्स:

D- लिंक DIR-615 (E4, 5.11NV)
डी-लिंक डीआईआर -615 (ई 4, 5.11 आरयू)

उनमें से कई के पास मानक व्यवस्थापक / व्यवस्थापक पासवर्ड थे।

इनमें से अधिकांश राउटर्स में, IP6tables (IPv6 के लिए iptables) बस गायब थे। डेवलपर्स को या तो कर्नेल में IPv6 समर्थन को पूरी तरह से अक्षम करना था, या सुनिश्चित करें कि http और टेलनेट डेमॉन 0.0.0.0 पर सुन रहे थे, और :: नहीं, लेकिन किसी कारण से, उन्होंने नहीं किया।

क्या होगा अगर ...?

यदि IPv6 को किसी तरह राउटर पर कॉन्फ़िगर किया गया था, और, तदनुसार, IPv6 पैकेट रूटिंग सक्षम है (net.ipv6.conf.all.forwarding = 1), और ip6tables या तो बिल्कुल भी कॉन्फ़िगर नहीं किया गया है या गलत तरीके से कॉन्फ़िगर किया गया है, तो यह सुनिश्चित करना संभव है। IPv4 की तरह, इस राउटर के माध्यम से रूट पैकेट।

निष्कर्ष

मैंने इन भेद्यताओं के बारे में कुछ कंपनियों को पहले ही पत्र भेजे हैं, लेकिन मैंने अभी तक कुछ को प्रबंधित नहीं किया है। हर हाल में सभी को पत्र भेजे जाएंगे।

IPv6 का उपयोग करें, इसके बारे में मत भूलना।

पुनश्च

यह मेरे लिए एक आश्चर्य की बात है कि ब्राउज़र एक इंटरफेस के साथ पते नहीं खोल सकते हैं। मैं सभी ब्राउज़र में http: // [fe80 :: a: b: c: d% enp4s0] जैसी लिंक खोलने का प्रबंधन नहीं कर सका। वे कहते हैं कि प्रतिशत चिह्न से बचने की जरूरत है, अर्थात्। http: // [fe80 :: a: b: c: d% 25enp4s0], लेकिन इसने अभी भी मेरे लिए काम नहीं किया। मुझे पोर्ट फ़ॉरवर्डिंग का उपयोग करना था।

कैसे IPv6 राउटर्स ब्रेक में मदद करता है