1

При запуске таких команд, как ntpq -p или apt-get update отображение результатов занимает очень много времени. Если я удаляю все правила ipv6, все работает нормально.

Я проверил системный журнал, и iptables не удаляется, поэтому правила работают. Я предполагаю, что я пропускаю некоторые правила, которые заставляют процесс быть медленным.

Как я могу улучшить производительность? Трафик IPv4 не имеет этой проблемы.

Вот пример моей конфигурации ip6tables:

  # Allow loopback access
  ip6tables -A INPUT -i lo -j ACCEPT
  ip6tables -A OUTPUT -o lo -j ACCEPT

  # Allow link-local
  ip6tables -A INPUT -s fe80::/10 -j ACCEPT
  ip6tables -A OUTPUT -s fe80::/10 -j ACCEPT

  # Allow multicast
  ip6tables -A INPUT -d ff00::/8 -j ACCEPT
  ip6tables -A OUTPUT -d ff00::/8 -j ACCEPT

  # Allow inbound PING
  ip6tables -A INPUT -i eth0 -p icmpv6 --icmpv6-type echo-request -j ACCEPT
  ip6tables -A OUTPUT -o eth0 -p icmpv6 --icmpv6-type echo-reply -j ACCEPT

  # Allow outbound PING
  ip6tables -A OUTPUT -o eth0 -p icmpv6 --icmpv6-type echo-request -j ACCEPT
  ip6tables -A INPUT -i eth0 -p icmpv6 --icmpv6-type echo-reply -j ACCEPT

  # Allow outbound DNS
  ip6tables -A OUTPUT -o eth0 -p udp --dport 53 -j ACCEPT
  ip6tables -A INPUT -i eth0 -p udp --sport 53 -j ACCEPT


     # Allow outbound NTP
  ip6tables -A OUTPUT -o eth0 -p udp --dport 123 -j ACCEPT
  ip6tables -A INPUT -i eth0 -p udp --sport 123 -j ACCEPT


  # Allow outbound SMTP
  ip6tables -A OUTPUT -o eth0 -p tcp --dport 25 -m conntrack --ctstate NEW,ESTABLISHED -j$
  ip6tables -A INPUT -i eth0 -p tcp --sport 25 -m conntrack --ctstate ESTABLISHED -j ACCE$

  # Allow outbound HTTP
  ip6tables -A OUTPUT -o eth0 -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j$
  ip6tables -A INPUT -i eth0 -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCE$
|источник

1 ответ1

4

Вы, кажется, фильтруете слишком много ICMPv6. IPv6 использует гораздо больше ICMP, чем IPv4, и вы фильтруете настолько, что фактически нарушаете IPv6. Вещи, которые не будут работать, например, обнаружение соседей, слишком большие сообщения об ошибках пакета и другие сообщения об ошибках. Это важно для IPv6.

При создании собственных правил брандмауэра вы должны обратить внимание на RFC 4890, в котором содержатся хорошие рекомендации по фильтрации ICMPv6.

|источник

Всё ещё ищете ответ? Посмотрите другие вопросы с метками .