[баян-инвалид] ip4 пространство кончается

>а еще не так давно у WS не было p2p. Всё качали с FTP любимого Adslclub'а.

Это было до меня. Сейчас все с морга на большой скорости качают.

а как ты сам из-за НАТа собрался туда влезать?

видимо ему и не нужно..

Ребята, какие отверстия? Все бекдоры/трояны и прочие боты юзают реверс шелл, от которого даже НАТ не спасет, а эти ваши настройки iptables это просто смешно.

Уже сто лет как боты получают команды через IRC, twitter и проч, а на комп попадают через дырявый браузер.

Ок, боритесь дальше с ветряными мельницами и получайте иллюзию безопасности.

В то время, как при IPv4 я просто открываю 22й порт, зная, что никто в мой NAT не влезет.

Да поидее не сложнее будет в этом случае

Что сейчас

iptables -t nat -A POSTROUTING -s 192.168.180.0/24 -j MASQUERADE
iptables -t nat -A PREROUTING -p tcp ! -s 192.168.0.0/24 --dport 22 -j DNAT --to-destination 192.168.0.1:22

ip6tables -t filter -A FORWARD -p tcp -d fe80::2e0:52ff:fe2f:f4 --dport 22 -j ACCEPT
ip6tables -t filter -A FORWARD ! -s fe80::2e0:52ff:fe2f:f4/64 -j DROP

как-то так =)

> а какая разница, если компьютер один?

Почему вдруг — один? Не меньше трёх.

> Что сейчас

Что с айпив6

Нет.

Сейчас это rc-update add proftpd deafult А с IPv6 — это rc-update, man iptables, google «iptables разрешить доступ только одному компьютеру» и только потом то, что ты написал.

Сейчас это rc-update add proftpd deafult

Не понял, добавление в ранлевел демона внезапно откроет порт на роутере ? о_О.

> добавление в ранлевел демона внезапно откроет порт на роутере

Зачем на роутере? Я несколько раз сказал, что мне нужно только чтоб был доступ из моей доверенной сети. У меня комп на столе стоит и ноут на диване. Зачем мне нужно, чтобы из инета к этому компу был доступ?

> надо будет открыть 22-й порт

Капитан очевидность юзает альтернативный порт для ссх, и получает два преимущества: возможность попасть к себе на комп с любого места (кроме некоторых дурацких цисок, где ссх клиенту нельзя указать порт) и никакого срача в логах по поводу брутфорса, без всяких блеклистов и прочих костылей.

Тогда вообще не вижу проблемы. Одна строчка на роутере.

ip6tables -t filter -A FORWARD ! -s адрес_локальной_cети/маска -j DROP 

> Сейчас все с морга на большой скорости качают.

вот именно что с морга!!!

крупнейший провайдер Всея Сибири ниасилил сделать собственный быстрый трекер.

Боже, куда ты смотришь...

на большой скорости качают.

и какая скорость сейчас считается «большой»? В мои времена эта была удвоенная скорость профиля внешки.

... а тем временем в ЭГ все качают с пирса на 10 мегабитах, ну или у меня роутер больше не держит...

100 Mb/sec. Obvious fix

Да и вообще, принцип аналогичен. В айпи4 маскарадинг можно принять как раз за запрещающее правило для входящих соединений в домашнюю сеть. Единственное различие, что в айпи6 для кхм..проброса портов правило запрещающее форвардинг должно быть в самом низу таблицы, а разрешающие вверху, когда в айпи4 это неважно.

> Одна строчка на роутере.

Мне не нужно форвардинга и вообще фаервол не нужен. У меня роутер загораживает мой домашний комп и ноут от интернета. Мне нужно чтобы с ноута я могу залезть на комп. Мне не нужно, чтобы к моему компу или ноуту был доступ из интернета. Нафиг мне iptables вообще в такой конфигурации?

а если мне всё это не надо? Если мне нужен не ssh, а ftp? Если мне не надо к нему иметь доступа с любого места из любой жопы мира, а надо только с ноута/кпк из локалки? Нафиг мне тогда фаерволы и прочая мозгодробильня, когда всё что мне нужно — это роутер, защищающий меня от доступа снаружи и NAT для доступа наружу?

Тогда ты обречен страдать

Ну млин, я и пытаюсь объяснить, на примере айпитеблс, что разницы для обычного роутера нету вообще. Что натить(masquerade) исходящие соеденения в айпи4, что запрещать форвардинг(forward) входящих соеденений в айпи6. Наверняка в домашних роутерах будет опция «запретить доступ к локалке из вне», как замена ната иначе пользователи виндовс будут сильно страдать.

>и какая скорость сейчас считается «большой»? В мои времена эта была удвоенная скорость профиля внешки.

сколько модем тянет, столько и будет. а если в доме есть витуха/оптика, то будут тебе 100 Мбит/с. Причём через витуху/оптику цены ниже.

1. IPv6 на нашем веку не будет, не переживайте 2. IPv6 имеет замечательную поддержку ната и локальных сетей. ::1

Рип, кстати, устраивает аттракцион невиданной щедрости в последнее время. Тем, кто просил /20 c радостью впаривал /18.

> Хочу! А то, в наших замкадных провайдерах такая битва за белый айпи! :( Кое-где белый айпи формально предоставляют, но реально можно его получить только после написания девяти тысяч заявлений на имя всех сотрудников провайдера включая техничек, после чего доказать им что ты мега-админ и белый айпи тебе нужен для входящих VNC и прочей фигни. (и не говорить про локальные сайты, они этого боятся).

Провайдер провайдеру рознь. У нас Academ.org даёт просто за дополнительную плату где-то 100 р в месяц.

> Я предпочитаю тёплый ламповый IPv4

Но когда посреди ночи резко понадобится внешний ip, зидя за NAT вы почувствуете всю прелесть этого костыля

> надёжного секурного ната

Мы оценили шутку юмора. Но NAT не обеспечивает безопасности. Более того, ее не могут обеспечить никакие технические решения.

По теме, кто может посоветовать хороший VPS хостинг на IPv6 бэкбоне?

> Если мне нужен не ssh, а ftp?

Откройте для себя sftp.