IPv6 weiterleitung IPtables

P.Se · May 28th 2020

Hallo zusammen

Ich habe hier bei netcup einen kleinen vServer welcher per IPv4 und IPv6 erreichbar ist. Per Wireguard gibt es einem Verbindung zu meinem Homeserver auf welchem mailcow installiert ist. Die Verbindung per Wireguard ist mit IPv4 und IPv6 eingerichtet und auch in beide richtungen per Ping erreichbar.

Nun habe ich per iptables einige Regeln für Ports welche auf dem vServer ankommen und dann per Wireguard zum Homeserver sollen. Mit IPv4 klappt alles. Aber die Regeln für IPv6 scheinen nicht zu funktionieren.

Code: rules.v4

# Generated by iptables-save v1.6.1 on Thu Apr  9 14:38:20 2020
*filter
:INPUT ACCEPT [4853:4900712]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [3229:472937]
-A FORWARD -i wg0 -j ACCEPT
-A FORWARD -i eth0 -j ACCEPT
-A FORWARD -i wg0 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 110 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 143 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i wg0 -o eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 443 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 465 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 587 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 993 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 995 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 4190 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
COMMIT
# Completed on Thu Apr  9 14:38:20 2020
# Generated by iptables-save v1.6.1 on Thu Apr  9 14:38:20 2020
*nat
:PREROUTING ACCEPT [597:37232]
:INPUT ACCEPT [268:12035]
:OUTPUT ACCEPT [1:84]
:POSTROUTING ACCEPT [1:84]
-A PREROUTING -i eth0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 10.11.12.10:25
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.11.12.10:80
-A PREROUTING -i eth0 -p tcp -m tcp --dport 110 -j DNAT --to-destination 10.11.12.10:110
-A PREROUTING -i eth0 -p tcp -m tcp --dport 143 -j DNAT --to-destination 10.11.12.10:143
-A PREROUTING -i eth0 -p tcp -m tcp --dport 443 -j DNAT --to-destination 10.11.12.10:443
-A PREROUTING -i eth0 -p tcp -m tcp --dport 465 -j DNAT --to-destination 10.11.12.10:465
-A PREROUTING -i eth0 -p tcp -m tcp --dport 587 -j DNAT --to-destination 10.11.12.10:587
-A PREROUTING -i eth0 -p tcp -m tcp --dport 993 -j DNAT --to-destination 10.11.12.10:993
-A PREROUTING -i eth0 -p tcp -m tcp --dport 995 -j DNAT --to-destination 10.11.12.10:995
-A PREROUTING -i eth0 -p tcp -m tcp --dport 4190 -j DNAT --to-destination 10.11.12.10:4190
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 25 -j ACCEPT
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 80 -j ACCEPT
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 110 -j ACCEPT
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 143 -j ACCEPT
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 443 -j ACCEPT
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 465 -j ACCEPT
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 587 -j ACCEPT
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 993 -j ACCEPT
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 995 -j ACCEPT
-A POSTROUTING -d 10.11.12.10/32 -o wg0 -p tcp -m tcp --dport 4190 -j ACCEPT
-A POSTROUTING -o wg0 -j MASQUERADE
COMMIT
# Completed on Thu Apr  9 14:38:20 2020

Display More

Code: rules.v6

# Generated by ip6tables-save v1.6.1 on Tue Apr 21 22:07:21 2020
*filter
:INPUT ACCEPT [4853:4900712]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [3229:472937]
-A FORWARD -i wg0 -j ACCEPT
-A FORWARD -i eth0 -j ACCEPT
-A FORWARD -i wg0 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 110 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 143 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i wg0 -o eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 443 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 465 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 587 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 993 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 995 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth0 -o wg0 -p tcp -m tcp --dport 4190 --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j ACCEPT
COMMIT
# Completed on Tue Apr 21 22:07:21 2020
# Generated by ip6tables-save v1.6.1 on Tue Apr 21 22:07:21 2020
*nat
:PREROUTING ACCEPT [597:37232]
:INPUT ACCEPT [268:12035]
:OUTPUT ACCEPT [1:84]
:POSTROUTING ACCEPT [1:84]
-A PREROUTING -i eth0 -p tcp -m tcp --dport 25 -j DNAT --to-destination fd42:42:42::2:25
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination fd42:42:42::2:80
-A PREROUTING -i eth0 -p tcp -m tcp --dport 110 -j DNAT --to-destination fd42:42:42::2:110
-A PREROUTING -i eth0 -p tcp -m tcp --dport 143 -j DNAT --to-destination fd42:42:42::2:143
-A PREROUTING -i eth0 -p tcp -m tcp --dport 443 -j DNAT --to-destination fd42:42:42::2:443
-A PREROUTING -i eth0 -p tcp -m tcp --dport 465 -j DNAT --to-destination fd42:42:42::2:465
-A PREROUTING -i eth0 -p tcp -m tcp --dport 587 -j DNAT --to-destination fd42:42:42::2:587
-A PREROUTING -i eth0 -p tcp -m tcp --dport 993 -j DNAT --to-destination fd42:42:42::2:993
-A PREROUTING -i eth0 -p tcp -m tcp --dport 995 -j DNAT --to-destination fd42:42:42::2:995
-A PREROUTING -i eth0 -p tcp -m tcp --dport 4190 -j DNAT --to-destination fd42:42:42::2:4190
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 25 -j ACCEPT
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 80 -j ACCEPT
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 110 -j ACCEPT
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 143 -j ACCEPT
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 443 -j ACCEPT
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 465 -j ACCEPT
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 587 -j ACCEPT
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 993 -j ACCEPT
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 995 -j ACCEPT
-A POSTROUTING -d fd42:42:42::2/128 -o wg0 -p tcp -m tcp --dport 4190 -j ACCEPT
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Tue Apr 21 22:07:21 2020

Display More

Was muss ich an den Reglen für IPv6 ändern damit auch diese funktionieren?

angeritten · May 28th 2020

Quote

fd42:42:42::2:4190

Ich habe selbst keine NAT-Regeln, aber iIst das tatsächlich so korrekt? Mir scheint als fehle die Trennung zwischen der IP und dem Port.

Schöne Grüße

P.Se · May 28th 2020

Danke für deinen Tipp fd42:42:42::2 ist die Interne IPv6 Adresse 4190 ist der Port.

Ich habe

-A PREROUTING -i eth0 -p tcp -m tcp --dport 25 -j DNAT --to-destination fd42:42:42::2:25

zu

-A PREROUTING -i eth0 -p tcp -m tcp -d fd42:42:42::2 --dport 25 -j DNAT --to :25

geändert. Aber bisher hat dies auch keinen Erfolg gebracht.

eripek · May 29th 2020

http://tldp.org/HOWTO/Linux+IPv6-HOWTO/ch18s04.html
Das mit der Trennung von Port und Adresse erfordert eine andere Notation. In obigem Beispiel -letzter Abschnitt- wird das anhand von site-local-Adressen und Documentation Range erläutert. Beachte die eckigen Klammern.

whoami0501 · May 29th 2020

Ich möchte lösen! Ich mach das so:

Code

# SSH /SFTP
/sbin/ip6tables -t nat -A PREROUTING -d $ext_ip -i $ext_int -p tcp --dport 12345 -j DNAT --to [fd00:21:1::116]:22
/sbin/ip6tables -A FORWARD -p tcp --dport 22 -d fd00:21:1::116 -m state --state NEW -j ACCEPT
/sbin/ip6tables -A FORWARD -p tcp --sport 22 -s fd00:21:1::116 -m state --state RELATED,ESTABLISHED -j ACCEPT

Und es funktioniert sogar. Zumindest unter Proxmox mit meinen LXC Containerchens.

P.Se · May 30th 2020

whoami0501 Herzlichen Dank. So funktioniert es auch bei mir.

netcup-user1 · Aug 24th 2021

Quote from whoami0501

Ich möchte lösen! Ich mach das so:

Code

# SSH /SFTP
/sbin/ip6tables -t nat -A PREROUTING -d $ext_ip -i $ext_int -p tcp --dport 12345 -j DNAT --to [fd00:21:1::116]:22
/sbin/ip6tables -A FORWARD -p tcp --dport 22 -d fd00:21:1::116 -m state --state NEW -j ACCEPT
/sbin/ip6tables -A FORWARD -p tcp --sport 22 -s fd00:21:1::116 -m state --state RELATED,ESTABLISHED -j ACCEPT

Und es funktioniert sogar. Zumindest unter Proxmox mit meinen LXC Containerchens.

Ich hoffe, dass hier noch jemand mit liest.

Ich hatte nun einen ähnlichen Fall. Ich habe LXD auf dem Server und wollte eine Portweiterleitung zu einem Container machen. Dieser Beitrag hat mir dabei sehr geholfen, da ich in IPv6 noch völlig neu bin. Allerdings funktioniert bei mir die ganze Sache bereits alleine mit der ersten Regel (PREROUTING). Die anderen beiden brauche ich gar nicht. Hat sich da etwas geändert, dass man diese nicht braucht, oder gibt es einen besonderen Sinn, warum man diese beiden Regeln auch noch eintragen sollte? Ich nutze Ubuntu Server 20.04.

H6G · Aug 24th 2021

Quote from netcup-user1

Die anderen beiden brauche ich gar nicht.

Das kommt darauf an, wie deine sonstigen Regeln aussehen, insbesondere die Policies.

Eine Philosophie bei Serversicherheit ist bspw. dass nur bestimmte Ports offen sein sollen und der Rest durch die Firewall geschlossen ist.

Ich gehe mal davon aus, dass bei whoami0501 alles auf "Default Closed" steht, und deshalb die letzten beiden Regeln explizit Port 22 erlauben.

Entsprechend wird über oder unter dem Scriptausschnitt ein ip6tables -P FORWARD DROP bzw. ip6tables -A FORWARD -j REJECT stehen.

Das gilt aber nur für die Forward Chain, nicht aber für die Input und Output Chain - die dafür verantwortlich sind, dass der Kernel auf dieser Netzwerkkarte die Verbindungen annimmt.

whoami0501 · Aug 24th 2021

Quote from H6G

Ich gehe mal davon aus, dass bei whoami0501 alles auf "Default Closed" steht, und deshalb die letzten beiden Regeln explizit Port 22 erlauben.

Richtig, genau so ist bzw. war es bei diesem Setup.

netcup-user1 · Aug 25th 2021

Ah, danke für die Antwort.

Wobei die beste Sicherheit ist, wenn gar nicht erst Ports geöffnet sind und somit gar nicht erst durch eine Firewall geschlossen werden müssen.

KB19 · Aug 25th 2021

Quote from netcup-user1

Wobei die beste Sicherheit ist, wenn gar nicht erst Ports geöffnet sind und somit gar nicht erst durch eine Firewall geschlossen werden müssen.

Natürlich, aber per Default alles zu droppen oder rejecten ist halt ein weiteres Sicherheitsnetz, falls irgendwelche Ports ungeplant und unbemerkt dazu kommen.

H6G · Aug 25th 2021

Quote from netcup-user1

Wobei die beste Sicherheit ist, wenn gar nicht erst Ports geöffnet sind und somit gar nicht erst durch eine Firewall geschlossen werden müssen.

Joa, aber jeder Benutzer auf einem Linux Server kann einen Port ab Nummer 1024 öffnen. Schadware genauso.

Dagegen hilft dann nur eine Firewall, die die Kommunikation nach außen / von außen auf diesen Ports verhindert.

netcup-user1 · Aug 25th 2021

Das ist allerdings richtig. Wobei man schon das erste Problem hat, wenn überhaupt jemand mit einem Benutzer einen Dienst starten kann. Soweit sollte möglichst schon gar nicht erst jemand kommen.

tab · Aug 25th 2021

Es braucht keinen Dienst, ein simples Programm/Skript genügt. Da musst du dann schon verhindern, dass irgendein Benutzer einen Port öffnen kann.

netcup-user1 · Aug 25th 2021

Das meine ich ja. Wenn da außer mir noch jemand zugreifen kann, ist das erste Problem bereits da.

DerRené · Aug 25th 2021

es sind nicht immer andere User dafür notwendig, dass unerwünschte Ports geöffnet werden. Hier mal ein falsches Script, da mal ne Software, deren Code man nicht Zeile für Zeile überprüft hat... also auf eine restriktive Firewall würde ich beim Server nie verzichten! Deny/Reject all, dann gezielt öffnen, ist kein großer Aufwand und macht einem das Serverleben ~~einfacher~~ sicherer.

txxt · Aug 28th 2021

Quote from netcup-user1

Das meine ich ja. Wenn da außer mir noch jemand zugreifen kann, ist das erste Problem bereits da.

Ein anderer guter Grund ist Software wie mongodb (zumindest vor ca. einem Jahr), die mit Standardpasswort oder ohne Passwort automatisch nach der Installation startet. Ohne Firewall wären solche Dienste für jeden Angreifer offen, bevor die Einstellungen geändert werden konnten.

H6G · Aug 28th 2021

Quote from txxt

mongodb (zumindest vor ca. einem Jahr), die mit Standardpasswort oder ohne Passwort automatisch nach der Installation startet.

Nur auf dem Loopback Interface

Der Admin muss die Bind Zeile in der Config ändern, damit das auftritt. Und wenn er dabei die Authorization Zeile vergisst, passiert das o.g. Problem.

Bachsau · Aug 28th 2021

Quote from netcup-user1

Das ist allerdings richtig. Wobei man schon das erste Problem hat, wenn überhaupt jemand mit einem Benutzer einen Dienst starten kann. Soweit sollte möglichst schon gar nicht erst jemand kommen.

Einen "Dienst" kann Grundsätzlich jeder starten, denn das ist im Prinzip nichts weiter als jedes beliebige Programm, das im Hintergrund läuft und einen Port öffnet. Dafür braucht es kein Init-Script. Mittels systemd kann man zwar timeouts festlegen, um Programme von nicht (mehr) eingeloggten Benutzern abzuschießen, aber das führt schnell zu anderen Problemen.

Tags