O Firewalld bloqueia o IPv6, ignora a configuração

Question

Estou tentando configurar um servidor web IPv6 no CentOS 7.2 com o NGINX. Eu testei minha conectividade IPv6 de entrada e saída - tudo funciona. Meu IP, registros AAAA, etc também estão bem. Essencialmente, tudo está OK até que eu ative o FirewallD.

Eu configuro o padrão para a zona de recebimento com interface eth0. Eu habilitei o dhcpv6-client, http, https e ssh (o ssh está em uma porta personalizada). Quando o firewall está ativado, nenhum tráfego IPv6 pode sair ou entrar na máquina. Traceroute6 para qualquer coisa (até mesmo o gateway) só vai para o localhost. Se eu desabilitar o firewall, tudo ficará bem.

Eu não tenho ideia do porquê isso está acontecendo. Não consegui encontrar nada on-line para que o FirewallD aplique a mesma configuração IPv4 ao tráfego IPv6. Eu pessoalmente pensei, ele faria isso automaticamente, já que todos os seus comandos são agnósticos de protocolo IP.

Qualquer ajuda é muito apreciada.

    

Answer 1

Eu encontrei o mesmo problema. Depois de seguir a lógica pelas regras que o firewalld coloca, descobri que a zona de entrega estava bloqueando o ipv6 icmp necessário para encontrar os vizinhos do ipv6. Existe uma regra para permitir todos os ipv6 icmp, mas o firewalld coloca-o após as zonas de entrada, onde estão as regras de descarte.

Se você quiser ver isso por si mesmo, basta olhar para a saída de 'ip6tables -L -n -v'

Então, uma solução rápida e suja é fazer isso:

firewall-cmd --permanent --direct --add-rule ipv6 filter INPUT 0 -p icmpv6 -j ACCEPT

O Firewalld coloca as regras diretas antes das outras regras de entrada para que isso aconteça antes das regras de descarte. Se você quiser bloquear coisas como ping, você também usaria uma regra direta, mas você precisaria antes da regra acima.

Você faria algo como:

firewall-cmd --permanent --direct --add-rule ipv6 filter INPUT 0 -p icmpv6 --icmpv6-type 128 -j DROP
firewall-cmd --permanent --direct --add-rule ipv6 filter INPUT 1 -p icmpv6 -j ACCEPT

As prioridades as manterão em ordem.