搜索

[25550] 2016-09-30_Linux发行版们应该禁用IPv4映射的IPv6地址吗？

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-19
2016-09-30_Linux发行版们应该禁用IPv4映射的IPv6地址吗？ L i n u x   发 行 版 们 应 该 禁 用   I P v 4   映 射 的   I P v 6   地 址 吗 ？ 原 创   译 者 ： a l i m 0 x   L i n u x 中 国   2 0 1 6 - 0 9 - 3 0 本 文 导 航 - 地 址 映 射 地 址 映 射 - 安 全 担 忧 安 全 担 忧 - L i n u x   上 的 地 址 映 射 上 的 地 址 映 射 从 各 方 面 来 看 ， 互 联 网 向   I P v 6   的 过 渡 是 件 很 缓 慢 的 事 情 。 不 过 在 最 近 几 年 ， 可 能 是 由 于   I P v 4   地 址 资 源 的 枯 竭 ， I P v 6   的 使 用 处 于 上 升 态 势 [ 1 ] 。 相 应 的 ， 开 发 者 也 有 兴 趣 确 保 软 件 能 在   I P v 4   和   I P v 6   下 工 作 。 但 是 ， 正 如 近 期   O p e n B S D   邮 件 列 表 的 讨 论 所 关 注 的 ， 一 个 使 得 向   I P v 6   转 换 更 加 轻 松 的 机 制 设 计 同 时 也 可 能 导 致 网 络 更 不 安 全 — — 并 且   L i n u x   发 行 版 们 的 默 认 配 置 可 能 并 不 安 全 。 地 址 映 射 地 址 映 射 I P v 6   在 很 多 方 面 看 起 来 可 能 很 像   I P v 4 ， 但 它 是 一 个 不 同 地 址 空 间 的 不 同 的 协 议 。 服 务 器 程 序 想 要 接 受 使 用 二 者 之 中 任 意 一 个 协 议 的 连 接 ， 必 须 给 两 个 不 同 的 地 址 族 分 别 打 开 一 个 套 接 字 — — I P v 4   的     和   I P v 6   的   。 特 别 是 一 个 程 序 希 望 在 主 机 的 使 用 两 种 地 址 协 议 的 任 意 接 口 都 接 受 连 接 的 话 ， 需 要 创 建 一 个 绑 定 到 全 零 通 配 符 地 址 （ ） 的     套 接 字 和 一 个 绑 定 到   I P v 6   等 效 地 址 （ 写 作 ） 的     套 接 字 。 它 必 须 在 两 个 套 接 字 上 都 监 听 连 接 — — 或 者 有 人 会 这 么 认 为 。 A F _ I N E T A F _ I N E T 6 0 . 0 . 0 . 0 A F _ I N E T : : A F _ I N E T 6
多 年 前 ， 在   R F C   3 4 9 3 [ 2 ] ， I E T F   指 定 了 一 个 机 制 ， 程 序 可 以 使 用 一 个 单 独 的   I P v 6   套 接 字 工 作 在 两 个 协 议 之 上 。 有 了 一 个 启 用 这 个 行 为 的 套 接 字 ， 程 序 只 需 要 绑 定 到     来 在 所 有 接 口 上 接 受 使 用 这 两 个 协 议 连 接 。 当 创 建 了 一 个   I P v 4   连 接 到 该 绑 定 端 口 ， 源 地 址 会 像   R F C   2 3 7 3 [ 3 ]   中 描 述 的 那 样 映 射 到   I P v 6 。 所 以 ， 举 个 例 子 ， 一 个 使 用 了 这 个 模 式 的 程 序 会 将 一 个     的 传 入 连 接 看 作 来 自 （ 这 个 混 合 的 写 法 就 是 这 种 地 址 通 常 的 写 法 ） 。 程 序 也 能 通 过 相 同 的 映 射 方 法 打 开 一 个 到   I P v 4   地 址 的 连 接 。 R F C   要 求 这 个 行 为 要 默 认 实 现 ， 所 以 大 多 数 系 统 这 么 做 了 。 不 过 也 有 些 例 外 ， O p e n B S D   就 是 其 中 之 一 ； 在 那 里 ， 希 望 在 两 种 协 议 下 工 作 的 程 序 能 做 的 只 能 是 创 建 两 个 独 立 的 套 接 字 。 但 一 个 在   L i n u x   中 打 开 两 个 套 接 字 的 程 序 会 遇 到 麻 烦 ： I P v 4   和 I P v 6   套 接 字 都 会 尝 试 绑 定 到   I P v 4   地 址 ， 所 以 不 论 是 哪 个 后 者 都 会 失 败 。 换 句 话 说 ， 一 个 绑 定 到     指 定 端 口 的 套 接 字 的 程 序 会 同 时 绑 定 到   I P v 6     和   I P v 4     地 址 的 那 个 端 口 上 。 如 果 程 序 之 后 尝 试 绑 定 一 个   I P v 4   套 接 字 到     的 相 同 端 口 上 时 ， 这 个 操 作 会 失 败 ， 因 为 这 个 端 口 已 经 被 绑 定 了 。 当 然 有 个 办 法 可 以 解 决 这 个 问 题 ； 程 序 可 以 调 用     来 打 开     选 项 。 一 个 打 开 两 个 套 接 字 并 且 设 置 了     的 程 序 应 该 可 以 在 所 有 的 系 统 间 移 植 。 读 者 们 可 能 对 不 是 每 个 程 序 都 能 正 确 处 理 这 一 问 题 没 那 么 震 惊 。 事 实 证 明 ， 这 些 程 序 的 其 中 之 一 是 网 络 时 间 协 议 （ N e t w o r k T i m e   P r o t o c o l ） 的   O p e n N T P D [ 4 ]   实 现 。 B r e n t   C o o k   最 近 给 上 游   O p e n N T P D   源 码 提 交 了 一 个 小 补 丁 [ 5 ] ， 添 加 了 必 要 的     调 用 ， 它 也 被 提 交 到 了   O p e n B S D   中 了 。 不 过 那 个 补 丁 看 起 来 不 大 可 能 被 接 受 ， 最 可 能 是 因 为   O p e n B S D   式 的 理 由 （ L C T T 译 注 ： 如 前 文 提 到 的 ， O p e n B S D   并 不 受 这 个 问 题 的 影 响 ） 。 安 全 担 忧 安 全 担 忧 正 如 上 文 所 提 到 ， O p e n B S D   根 本 不 支 持   I P v 4   映 射 的   I P v 6   套 接 字 。 即 使 一 个 程 序 试 着 通 过 将   选 项 设 置 为   0   显 式 地 启 用 地 址 映 射 ， 它 的 作 者 会 感 到 沮 丧 ， 因 为 这 个 设 置 在   O p e n B S D   系 统 中 无 效 。 这 个 决 定 背 后 的 原 因 是 这 个 映 射 带 来 了 一 些 安 全 担 忧 。 攻 击 打 开 的 接 口 的 攻 击 类 型 有 很 多 种 ， 但 它 们 最 后 都 会 回 到 规 定 的 两 个 途 径 到 达 相 同 的 端 口 ， 每 个 端 口 都 有 它 自 己 的 控 制 规 则 。 任 何 给 定 的 服 务 器 系 统 可 能 都 设 置 了 防 火 墙 规 则 ， 描 述 端 口 的 允 许 访 问 权 限 。 也 许 还 会 有 适 当 的 机 制 ， 比 如   T C P   w r a p p e r s 或 一 个 基 于   B P F   的 过 滤 器 ， 或 一 个 网 络 上 的 路 由 器 可 以 做 连 接 状 态 协 议 过 滤 。 结 果 可 能 是 导 致 防 火 墙 保 护 和 潜 在 的 所 有 类 : : 1 9 2 . 1 6 8 . 1 . 1 : : f f f f : 1 9 2 . 1 6 8 . 1 . 1 : : : : 0 . 0 . 0 . 0 0 . 0 . 0 . 0 s e t s o c k o p t ( ) I P V 6 _ V 6 O N L Y I P V 6 _ V 6 O N L Y s e t s o c k o p t ( ) I P V 6 _ V 6 O N L Y
型 的 混 乱 连 接 之 间 的 缺 口 导 致 同 一   I P v 4   地 址 可 以 通 过 两 个 不 同 的 协 议 到 达 。 如 果 地 址 映 射 是 在 网 络 边 界 完 成 的 ， 情 况 甚 至 会 变 得 更 加 复 杂 ； 参 看 这 个   2 0 0 3   年 的   R F C   草 案 [ 6 ] ， 它 描 述 了 如 果 映 射 地 址 在 主 机 之 间 传 播 ， 一 些 随 之 而 来 的 其 它 攻 击 场 景 。 改 变 系 统 和 软 件 正 确 地 处 理   I P v 4   映 射 的   I P v 6   地 址 当 然 可 以 实 现 。 但 那 增 加 了 系 统 的 整 体 复 杂 度 ， 并 且 可 以 确 定 这 个 改 动 没 有 实 际 地 完 整 实 现 到 它 应 该 实 现 的 范 围 内 。 如 同   T h e o   d e   R a a d t   说 的 [ 7 ] ： 有 时 候 人 们 将 一 个 糟 糕 的 想 法 放 进 了 有 时 候 人 们 将 一 个 糟 糕 的 想 法 放 进 了   R F C 。 之 后 他 们 发 现 这 个 想 法 是 不 可 能 的 就 将 它 丢 回 垃 圾 箱 了 。 结 果 就 是 概 念 变 。 之 后 他 们 发 现 这 个 想 法 是 不 可 能 的 就 将 它 丢 回 垃 圾 箱 了 。 结 果 就 是 概 念 变 得 如 此 复 杂 ， 每 个 人 都 得 在 管 理 和 编 码 方 面 是 个 全 职 专 家 。 得 如 此 复 杂 ， 每 个 人 都 得 在 管 理 和 编 码 方 面 是 个 全 职 专 家 。 我 们 也 根 本 不 清 楚 这 些 全 职 专 家 有 多 少 在 实 际 配 置 使 用   I P v 4   映 射 的   I P v 6   地 址 的 系 统 和 网 络 。 有 人 可 能 会 说 ， 尽 管   I P v 4   映 射 的   I P v 6   地 址 造 成 了 安 全 危 险 ， 更 改 一 下 程 序 让 它 在 实 现 了 地 址 映 射 的 系 统 上 关 闭 地 址 映 射 应 该 没 什 么 危 害 。 但   T h e o   认 为 [ 8 ] 不 应 该 这 么 做 ， 有 两 个 理 由 。 第 一 个 是 有 许 多 破 旧 的 程 序 ， 它 们 永 远 不 会 被 修 复 。 而 实 际 的 原 因 是 给 发 行 版 们 施 加 压 力 去 默 认 关 闭 地 址 映 射 。 正 如 他 说 的 ： “ 最 终 有 人 会 理 解 这 个 危 害 是 系 统 性 的 ， 并 更 改 系 最 终 有 人 会 理 解 这 个 危 害 是 系 统 性 的 ， 并 更 改 系 统 默 认 行 为 使 之 统 默 认 行 为 使 之 ‘ s e c u r e   b y   d e f a u l t ’ 。 ” L i n u x   上 的 地 址 映 射 上 的 地 址 映 射 在   L i n u x   系 统 ， 地 址 映 射 由 一 个 叫 做     的   s y s c t l   开 关 控 制 ； 它 默 认 设 置 为   0 （ 启 用 地 址 映 射 ） 。 管 理 员 （ 或 发 行 版 们 ） 可 以 通 过 将 它 设 置 为   1   来 关 闭 地 址 映 射 ， 但 在 部 署 这 样 一 个 系 统 到 生 产 环 境 之 前 最 好 确 认 软 件 都 能 正 常 工 作 。 一 个 快 速 调 查 显 示 没 有 哪 个 主 要 发 行 版 改 变 这 个 默 认 值 ； D e b i a n   在   2 0 0 9   年 的   “ s q u e e z e ”   中 改 变 了 这 个 默 认 值 [ 9 ] ， 但 这 个 改 动 破 坏 了 足 够 多 的 软 件 包 （ 比 如 任 何 包 含   J a v a   的 程 序 [ 1 0 ] ） ， 在 经 过 了 几 次 的   D e b i a n   式 的 讨 论 之 后 [ 1 1 ] ， 它 恢 复 到 了 原 来 的 设 置 。 看 上 去 不 少 程 序 依 赖 于 默 认 启 用 地 址 映 射 。 O p e n B S D   有 以 “ s e c u r e   b y   d e f a u l t ” 的 名 义 打 破 其 核 心 系 统 之 外 的 东 西 的 传 统 ； 而   L i n u x   发 行 版 们 则 更 倾 向 于 难 以 作 出 这 样 的 改 变 。 所 以 那 些 一 般 不 愿 意 收 到 他 们 用 户 的 不 满 的 发 行 版 们 ， 不 太 可 能 很 快 对   b i n d v 6 o n l y   的 默 认 设 置 作 出 改 变 。 好 消 息 是 这 个 功 能 作 为 默 认 已 经 很 多 年 了 ， 但 很 难 找 到 被 利 用 的 例 子 。 但 是 ， 正 如 我 们 都 知 道 的 ， 谁 都 无 法 保 证 这 样 的 利 用 不 可 能 发 生 。 v i a :   h t t p s : / / l w n . n e t / A r t i c l e s / 6 8 8 4 6 2 / 作 者 ： J o n a t h a n   C o r b e t [ 1 2 ]   译 者 ： a l i m 0 x   校 对 ： w x y 本 文 由   L C T T [ 1 3 ]   原 创 编 译 ， L i n u x 中 国   荣 誉 推 出 [ 1 ] :   h t t p s : / / w w w . g o o g l e . c o m / i n t l / e n / i p v 6 / s t a t i s t i c s . h t m l [ 2 ] :   h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 3 4 9 3 # s e c t i o n - 3 . 7 [ 3 ] :   h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 2 3 7 3 # p a g e - 1 0 [ 4 ] :   h t t p s : / / g i t h u b . c o m / o p e n n t p d - p o r t a b l e / [ 5 ] :   h t t p s : / / l w n . n e t / A r t i c l e s / 6 8 8 4 6 4 / [ 6 ] :   h t t p s : / / t o o l s . i e t f . o r g / h t m l / d r a f t - i t o j u n - v 6 o p s - v 4 m a p p e d - h a r m f u l - 0 2 [ 7 ] :   h t t p s : / / l w n . n e t / A r t i c l e s / 6 8 8 4 6 5 / n e t . i p v 6 . b i n d v 6 o n l y
[ 8 ] :   h t t p s : / / l w n . n e t / A r t i c l e s / 6 8 8 4 6 6 / [ 9 ] :   h t t p s : / / l i s t s . d e b i a n . o r g / d e b i a n - d e v e l / 2 0 0 9 / 1 0 / m s g 0 0 5 4 1 . h t m l [ 1 0 ] :   h t t p s : / / b u g s . d e b i a n . o r g / c g i - b i n / b u g r e p o r t . c g i ? b u g = 5 6 0 0 5 6 [ 1 1 ] :   h t t p s : / / l i s t s . d e b i a n . o r g / d e b i a n - d e v e l / 2 0 1 0 / 0 4 / m s g 0 0 0 9 9 . h t m l [ 1 2 ] :   h t t p s : / / l w n . n e t / [ 1 3 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t 推 荐 文 章 推 荐 文 章 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理