IP6tables bloqueia INPUT? não pode se conectar com a API do youtube

Question

Eu pensei em ter um firewall ipv6 simples, mas acabou sendo um inferno. De alguma forma, eu realmente não consigo me conectar com qualquer ipv6 da minha máquina, a menos que eu defina a Política de Entrada para ACEITAR. Abaixo do meu ip6tables atual

ip6tabelas -L

Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all      anywhere             anywhere           state RELATED,ESTABLISHED
ACCEPT     ipv6-icmp    anywhere             anywhere
ACCEPT     tcp      anywhere             anywhere           tcp dpt:http
ACCEPT     tcp      anywhere             anywhere           tcp dpt:https

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Se eu tentar me conectar com qualquer ipv6, ele não funciona?

telnet gdata.youtube.com 80
Trying 2a00:1450:4013:c00::76...

OR

telnet gdata.youtube.com 443
Trying 2a00:1450:4013:c00::76...

Quando eu defino:

ip6tables -P INPUT ACCEPT

Funciona ... mas depois ... bem, então tudo está aberto? o que está acontecendo? Ajuda?

    

Answer 1

Você provavelmente está perdendo a regra "stateful" crítica:

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Você também está perdendo uma regra para aceitar o ICMPv6. Sem o ICMPv6, o IPv6 simplesmente não funciona.

-A INPUT -p ipv6-icmp -j ACCEPT

Por motivos de desempenho, isso deve estar entre as regras mais antigas de sua cadeia.