是否有推荐的IPv6防火墙设置？

自从商用互联网开始以来，我们在.EDU领域已经拥有的公共IPv4-subnet-behind-Firewall设置的build议基本上没有改变。 由于EDU早期的子网分配相当慷慨（我的旧作拥有IPv4 / 16的分配，而且我知道另一个拥有1/16和另外一个/ 18的大小的机构），这些机构在保护公开可路由IP地址在防火墙后面。 哎呀，这个设置是原始的IP创造者想到的。

原则（从记忆）：

• 除非有特定的业务需求（默认拒绝），否则不允许外部访问内部IP地址。
• 允许ICMP到内部地址，因为IP协议依靠它来确定networking状况。
  • Ping扫描应该被IPSconfiguration阻止。
  • 请记住，只是因为一台机器可以ping通，并不意味着它是可以连接的！
• 反向DNS查找对于某些用例很重要，所以请确保它们正常工作。

一个短名单，我知道。 但是20年后的基本防火墙原理是一样的：只允许访问那些你想要允许的IP：端口组合，否认其他一切。

如果您的规则迄今只包含“仅在内部发起的stream量”（NAT），并且发布的服务（端口转发）有一些例外，您可以坚持这一规定，并将其转移到IPv6。

您将会对v6提供的隧道和encryptionfunction产生额外的影响，但是总的来说，适用于v4的所有function仍然适用于v6。 推荐阅读： 构buildInternet防火墙 （Zwicky，Cooper，Chapman）。

除了这里的答案之外，还应该查看一下RFC 4890 ，它通过防火墙概述了大量需要了解ICMP6的信息。 另请参阅Google的IPv6信息中心