「NURO光やフレッツ・v6オプションでIPv6ファイアウォールが設定されていないことが話題に」記事へのコメント

Qiitaのレスバトルまとめ

[Anonymous Coward]

問題ない派
・何も知らない一般ユーザーにとってHGWのFWは(穴を開けるときに)そもそも邪魔
・IPv6は天文学的に割当量が多いので攻撃を受ける可能性が限りなく低い
・インターネットにさらされるとやばいのは脆弱性のある機器側で対策すべき問題
・NUROでHGWによってFWの設定がまちまちなのはメーカーがなくても問題ないと判断したから

問題ある派
・何も知らない一般ユーザーがFWなしにインターネットにさらされることはそもそもまずい
・FWは最低限のセキュリティ対策なのでルーターを兼ねているHGWに搭載するべき
・HGWによってはFWを無効にするとき警告が出るものもある
・NUROでHGWによってFWの設定がまちまちなのはSo-netの機器選定がまずいから

あなたはどっち派？

Re:

[Anonymous Coward]

クライアントIPv6アドレスは
つなげたサイトから丸わかりです。
IPv6ファイヤーウォールがない場合
サイトからクライアントの1-65535すべてのポートを叩けます
そう139や445だって叩けます

Windowsの場合
139や445がデフォルトで止められるのはパブリックネットワークのみ
自宅のルーター下など共有有効になっているネットワーク化では大通しです
これはWindowsのファイヤーウォールの概念が
IPv4時代と同じくIPv6でもルーターが守ってくれる前提であるためで
使用上修正される予定のないセキュリティホールとなっています

スマホも含めLinux系やMacはそんな設定ではないと思われますので
Windows OSの悪癖ではないでしょうか？

Re:

[Anonymous Coward]

> 自宅のルーター下など共有有効になっているネットワーク化では大通しです

さすがに同一サブネットのみでしょ…と思っていたらどうもそうではないようで真顔になったわ

Re:

[Anonymous Coward]

これは誤解で、素通しなのはドメインネットワークの方だけで
通常の家庭で使われるプライベートネットワークであれば139/445あたりの受信規則はローカルサブネットのみでした(Win10 1909)

IPv6なら素通しなんですが

[Anonymous Coward]

通常の家庭で使われるプライベートネットワークであれば139/445あたりの受信規則はローカルサブネットのみでした(Win10 1909)

それは IPv4 の話ですね。
IPv6 はそもそも、ローカルとかグローバルとかを気にせずにLAN内だろうがLAN外だろうが世界中の機器をIPアドレスだけで接続可能にする設計思想で、ローカルサブネットの識別なんてものはないので、ファイアウォールで制限しなければ外の世界からも素通しです。

知ったかぶりは「リンクローカル IPv6 アドレス」というプライベートIPアドレスが使われるのなんだのと言い出しますが、それは機器同士の接続に使う別物であって、普通のTCP/IP通信やらWindowsネットワークで

Re:IPv6なら素通しなんですが

[Anonymous Coward]

知ったかぶりはやめてください。
全部間違ってます。