Pour beaucoup ça évite aussi une réécriture d'un soft ipv4.
Ah bah oui c'est clair, mais jusqu'à quand on va continuer à écrire des softs basés sur une technologie qui ne peut pas supporter un Internet moderne ?
La différence, c'est qu'une machine derrière un nat ne peut, par définition, pas être accessible sans configuration particulière (port forwarding)
une machine en ipv6, est par définition accessible. La configuration du firewall est un plus absolument pas indispensable.
Bon, je ne sais pas comment ne pas m'énerver, je l'avais déjà expliqué là à l'époque : https://linuxfr.org//comments/1001451.html#1001451
Ça fait deux ans, et toujours autant d'ignorance...
Alors, en gras, puisque tu ne veux pas comprendre : le nat _EST_ une règle du firewall, bordel de merde !. « Par défaut », on a une règle _en moins_ quand on ne fait pas de NAT. Et on en a _autant_ quand on rajoute la règle qui provoque l'effet _équivalent_ au nat de bloquer les connexions entrantes.
C'est ce que j'ai chez moi et pendant un temps uniquement certaines machines étaient forwardé - maintenant tout le réseau local est forwardé, par contre si j'ai effectivement fait du port forwarding avec iptables, j'ai trouvé ssh plus pratique (pour la plage de port >1024) (pas besoin de passer par root)
Ah, encore mieux que le NAT : utiliser le layer 5 pour palier les problèmes de pénurie d'IPv4... Genial.
Tu peux détailler?
Déjà fait au dessus. Ce que je voulais dire dans la remarque que tu cites, c'est que je pense que les FAI ont un minimum de « jugeote » (i.e. ils savent que derrière leurs box se trouvent des passoires) et bloqueront par défaut les connexions entrantes sur leurs routeurs IPv6. C'est tout.
Je crois que tu te plantes radicalement sur mon compte, je suis pour le passage en ipv6, ne serai-ce que pour la souplesse que ça apporte, mais nier qu'une passerelle NAT apporte une certaine sécurité au réseau derrière, est, a mon avis, une erreur monumentale. Oui la machine nat peut être remplacé par un pare feu, et dans beaucoup de cas cela devra être fait, mais moi ça me ferai grave chier que par défaut les box bloquent tout et qu'il faille se connecter dessus pour dire oui le trafic sur les ports 21,22, 194, 443, 80, 995, allant vers telles machine c'est ok. Et encore j'en oublie, les partage bittorrent, et autre truc dont je ne suis pas forcément au courant des ports utilisé, et si les box par défaut laissent tout passer, va y avoir un paquet d'ordi infecté.
Mais t'es con ou t'es con ? Ta passerelle IPv6 bloquera par défaut les connexions entrantes, et te proposera une jolie interface web pour configurer quoi laisser passer où. Exactement comme le fait actuellement ta box.
[^] # Re: Pas forcément la fin du NAT
Posté par benoar . En réponse au journal IPcalypse : J - 42. Évalué à 4.
Ah bah oui c'est clair, mais jusqu'à quand on va continuer à écrire des softs basés sur une technologie qui ne peut pas supporter un Internet moderne ?
La différence, c'est qu'une machine derrière un nat ne peut, par définition, pas être accessible sans configuration particulière (port forwarding)
une machine en ipv6, est par définition accessible. La configuration du firewall est un plus absolument pas indispensable.
Bon, je ne sais pas comment ne pas m'énerver, je l'avais déjà expliqué là à l'époque : https://linuxfr.org//comments/1001451.html#1001451
Ça fait deux ans, et toujours autant d'ignorance...
Alors, en gras, puisque tu ne veux pas comprendre : le nat _EST_ une règle du firewall, bordel de merde !. « Par défaut », on a une règle _en moins_ quand on ne fait pas de NAT. Et on en a _autant_ quand on rajoute la règle qui provoque l'effet _équivalent_ au nat de bloquer les connexions entrantes.
C'est ce que j'ai chez moi et pendant un temps uniquement certaines machines étaient forwardé - maintenant tout le réseau local est forwardé, par contre si j'ai effectivement fait du port forwarding avec iptables, j'ai trouvé ssh plus pratique (pour la plage de port >1024) (pas besoin de passer par root)
Ah, encore mieux que le NAT : utiliser le layer 5 pour palier les problèmes de pénurie d'IPv4... Genial.
Tu peux détailler?
Déjà fait au dessus. Ce que je voulais dire dans la remarque que tu cites, c'est que je pense que les FAI ont un minimum de « jugeote » (i.e. ils savent que derrière leurs box se trouvent des passoires) et bloqueront par défaut les connexions entrantes sur leurs routeurs IPv6. C'est tout.
Je crois que tu te plantes radicalement sur mon compte, je suis pour le passage en ipv6, ne serai-ce que pour la souplesse que ça apporte, mais nier qu'une passerelle NAT apporte une certaine sécurité au réseau derrière, est, a mon avis, une erreur monumentale. Oui la machine nat peut être remplacé par un pare feu, et dans beaucoup de cas cela devra être fait, mais moi ça me ferai grave chier que par défaut les box bloquent tout et qu'il faille se connecter dessus pour dire oui le trafic sur les ports 21,22, 194, 443, 80, 995, allant vers telles machine c'est ok. Et encore j'en oublie, les partage bittorrent, et autre truc dont je ne suis pas forcément au courant des ports utilisé, et si les box par défaut laissent tout passer, va y avoir un paquet d'ordi infecté.
Mais t'es con ou t'es con ? Ta passerelle IPv6 bloquera par défaut les connexions entrantes, et te proposera une jolie interface web pour configurer quoi laisser passer où. Exactement comme le fait actuellement ta box.