自宅ホスティングサーバー向けIPv6ファイアウォールルールの設定方法

未承諾のインバウンドIPv6トラフィックにステートフルなデフォルト拒否ポリシーを適用し、公開するサービスのみを許可します。IPv4のルールセットをそのままコピーしたり、ポートフォワーディングがないことに頼ったりしないでください。

IPv6ホストはグローバルにルーティング可能なアドレスを受け取る場合があるため、境界を適用するのはNATではなく、ルーターとホストのファイアウォールです。主な運用上のリスクは、近隣探索、ルーター探索、パケットサイズのフィードバックを支えるICMPv6を過度にブロックすることです。まずインベントリ作成と外部テストを行い、コンソールアクセスを確保して、一度に1つのレイヤーだけを変更します。

アドレス、インターフェース、公開範囲を確認する

サーバーのグローバルアドレス、ユニークローカルアドレス、リンクローカルアドレスと、それらを受け取るインターフェースを特定します。ISPのプレフィックスが変わるかどうかを確認してください。1つの完全なアドレスに結び付けたルールは、気付かないうちに古くなる可能性があります。

IPv6でリッスンしているすべてのソケットを一覧表示し、対象をLANのみ、VPNのみ、または公開のいずれかに分類します。::にバインドされたサービスは、ファイアウォールで制限しない限り、すべてのIPv6アドレスで接続を受け付ける場合があります。

IPv6を実際に利用できるネットワークから外部スキャンを実行します。最近の研究では、多くの住宅用デバイスがIPv6経由で直接到達可能であることが分かっており、住宅用IPv6の公開状況は、想定ではなく測定すべきであることが改めて示されています。

ステートフルな基本ポリシーを構築する

ループバック、確立済みおよび関連するトラフィック、必要なローカルネットワーク制御トラフィックを許可します。無効な状態と、未承諾のインバウンド転送はデフォルトで破棄します。

プロトコル全体を一括でブロックするのではなく、必要なICMPv6メッセージタイプを許可します。ルール変更後にアドレス割り当て、近隣到達性、または大容量転送に問題が発生した場合は、アプリケーションポートを変更する前にICMPv6の処理を復元してください。

ルーターの入力ポリシーとサーバーへの転送ポリシーは分けて管理します。ルーター経由でアプリケーションを公開しても、ルーター自体のSSHやWebインターフェースまで公開する必要はありません。

サービスごとに限定的なルールを追加する

各公開サービスは、宛先サーバー、プロトコル、ポートを指定して許可します。できれば外部インターフェース上でのみ許可してください。データベース、コンテナ管理、ストレージ管理は、信頼できるLANまたはVPNの送信元に限定します。

インターフェースグループ、プレフィックスエイリアス、プレフィックス変更時に更新されるホストルールなど、ファイアウォールがサポートする安定した宛先指定方法を使用します。委任プレフィックスが更新されるたびに、適用後のルールを確認してください。

サービスがリバースプロキシの背後にある場合は、プロキシのポートだけを公開し、アップストリームは非公開にします。信頼性の高いImmichネットワーク共有に関するZimaSpaceガイドは、ストレージパスの障害を公開設定やファイアウォール変更の問題と切り分けるのに役立ちます。

-15% OFF

ZimaBoard 2 - あなたの大きなアイデアのためのミニホームサーバー

Single board computer zimaboard2

$339.00 - $519.00

Buy Now

ファイアウォールの両側から検証する

外部のIPv6接続から、まず意図したHTTPS名をテストし、次に禁止した管理用ポートを少数明示的にスキャンします。サービスは正しい証明書で接続でき、管理用ポートは閉じているか、フィルタリングされている必要があります。

LANからは、クライアントアドレスを更新し、名前解決を確認して、大容量転送を実行します。これらの確認により、ルーター広告、近隣探索、パスMTUフィードバックが引き続き機能していることを検証できます。

カウンターとログを確認し、ノイズが多すぎる一時的なログ記録は削除します。サーバーがアドレス設定を失ったり、大容量のフローが停止したりした場合はロールバックしてください。独立した外部IPv6ネットワークからポリシーを検証できない場合は、サービスの公開を停止します。