Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
IPv6 over IPv4
20-05-2011, 09:05 door Anoniem, 12 reacties
Weet iemand een manier om IPv6 te testen over een IPv4 verbinding? Om specifieker te zijn: ik wil een AAAA-record aan de nameserver van mijn website toevoegen, maar hoe test ik of dit record wel goed resolved over IPv6? Ik heb een XP, Vista en OSX machine ter beschikking, mocht een bepaalde tool alleen op één van die platformen draaien.
Alvast bedankt voor de tips.
Alvast bedankt voor de tips.
Reacties (12)
20-05-2011, 17:33 door
SirDice
Onder OS-X is het makkelijkst denk ik, die heeft standaard de tool "dig".
dice@lady3jane:~%dig www.google.com AAAA
; <<>> DiG 9.6.0-APPLE-P2 <<>> www.google.com AAAA
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 52151
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 4, ADDITIONAL: 4
;; QUESTION SECTION:
;www.google.com. IN AAAA
;; ANSWER SECTION:
www.google.com. 362046 IN CNAME www.l.google.com.
www.l.google.com. 300 IN AAAA 2a00:1450:8003::63
;; AUTHORITY SECTION:
google.com. 27729 IN NS ns3.google.com.
google.com. 27729 IN NS ns1.google.com.
google.com. 27729 IN NS ns2.google.com.
google.com. 27729 IN NS ns4.google.com.
;; ADDITIONAL SECTION:
ns1.google.com. 199514 IN A 216.239.32.10
ns2.google.com. 199513 IN A 216.239.34.10
ns3.google.com. 199513 IN A 216.239.36.10
ns4.google.com. 199513 IN A 216.239.38.10
;; Query time: 35 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Fri May 20 17:34:12 2011
;; MSG SIZE rcvd: 216
Of via een specifieke server:
dice@lady3jane:~%dig @ns1.google.com www.google.com AAAA
; <<>> DiG 9.6.0-APPLE-P2 <<>> @ns1.google.com www.google.com AAAA
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 54529
;; flags: qr aa rd; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available
;; QUESTION SECTION:
;www.google.com. IN AAAA
;; ANSWER SECTION:
www.google.com. 604800 IN CNAME www.l.google.com.
www.l.google.com. 300 IN AAAA 2a00:1450:8003::6a
;; Query time: 22 msec
;; SERVER: 216.239.32.10#53(216.239.32.10)
;; WHEN: Fri May 20 17:36:29 2011
;; MSG SIZE rcvd: 80
dice@lady3jane:~%dig www.google.com AAAA
; <<>> DiG 9.6.0-APPLE-P2 <<>> www.google.com AAAA
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 52151
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 4, ADDITIONAL: 4
;; QUESTION SECTION:
;www.google.com. IN AAAA
;; ANSWER SECTION:
www.google.com. 362046 IN CNAME www.l.google.com.
www.l.google.com. 300 IN AAAA 2a00:1450:8003::63
;; AUTHORITY SECTION:
google.com. 27729 IN NS ns3.google.com.
google.com. 27729 IN NS ns1.google.com.
google.com. 27729 IN NS ns2.google.com.
google.com. 27729 IN NS ns4.google.com.
;; ADDITIONAL SECTION:
ns1.google.com. 199514 IN A 216.239.32.10
ns2.google.com. 199513 IN A 216.239.34.10
ns3.google.com. 199513 IN A 216.239.36.10
ns4.google.com. 199513 IN A 216.239.38.10
;; Query time: 35 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Fri May 20 17:34:12 2011
;; MSG SIZE rcvd: 216
Of via een specifieke server:
dice@lady3jane:~%dig @ns1.google.com www.google.com AAAA
; <<>> DiG 9.6.0-APPLE-P2 <<>> @ns1.google.com www.google.com AAAA
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 54529
;; flags: qr aa rd; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available
;; QUESTION SECTION:
;www.google.com. IN AAAA
;; ANSWER SECTION:
www.google.com. 604800 IN CNAME www.l.google.com.
www.l.google.com. 300 IN AAAA 2a00:1450:8003::6a
;; Query time: 22 msec
;; SERVER: 216.239.32.10#53(216.239.32.10)
;; WHEN: Fri May 20 17:36:29 2011
;; MSG SIZE rcvd: 80
DNS en IPv6 is niet aan elkaar gerelateerd.
Een IPv4 nameserver kan perfect een AAAA record teruggeven.
Als je zeker wil zijn dat je nameserver antwoord op over IPv6 doe dan een netstat -an | grep 53
udp6 0 0 fdfe:2889:6e56::24ff:53 :::*
udp 0 0 192.168.1.254:53 0.0.0.0:*
Als je een udp poort 53 hebt open staan op een IPv6 adres dan zou dit in orde moeten zijn. (als ip6tables niet dicht staat)
Een IPv4 nameserver kan perfect een AAAA record teruggeven.
Als je zeker wil zijn dat je nameserver antwoord op over IPv6 doe dan een netstat -an | grep 53
udp6 0 0 fdfe:2889:6e56::24ff:53 :::*
udp 0 0 192.168.1.254:53 0.0.0.0:*
Als je een udp poort 53 hebt open staan op een IPv6 adres dan zou dit in orde moeten zijn. (als ip6tables niet dicht staat)
21-05-2011, 13:07 door
ej__
Inderdaad met een tunnel, zoals die van sixxs, of hurricane electric. Dan kun je zelf meteen volledig IPv6 gaan draaien, alle drie je os'en ondersteunen het. Bij XP moet je het even handmatig aansteken.
Met dig test je alleen of de dns goed wijst. Dat lijkt me voor de vraag van TS niet voldoende.
Met dig test je alleen of de dns goed wijst. Dat lijkt me voor de vraag van TS niet voldoende.
21-05-2011, 23:14 door
ej__
Door Anoniem:
Als je een udp poort 53 hebt open staan op een IPv6 adres dan zou dit in orde moeten zijn. (als ip6tables niet dicht staat)
Als je een udp poort 53 hebt open staan op een IPv6 adres dan zou dit in orde moeten zijn. (als ip6tables niet dicht staat)
Ip6tables op Windows XP, Vista of OSX? Wel de hele vraag lezen aub. ;). Enne, Ueberhaupt ip6tables? pf kent gewoon ipv6 hoor. En snapt dat een stuk beter. ;)
Door ej__:
Ip6tables op Windows XP, Vista of OSX? Wel de hele vraag lezen aub. ;). Enne, Ueberhaupt ip6tables? pf kent gewoon ipv6 hoor. En snapt dat een stuk beter. ;)
Although ik PF digg snap ik wel de separatie van ipv6 tables soms wil je sommige services nog niet op v6 bieden en die kan je dan even goed dichthouden :)Door Anoniem:
Als je een udp poort 53 hebt open staan op een IPv6 adres dan zou dit in orde moeten zijn. (als ip6tables niet dicht staat)
Als je een udp poort 53 hebt open staan op een IPv6 adres dan zou dit in orde moeten zijn. (als ip6tables niet dicht staat)
Ip6tables op Windows XP, Vista of OSX? Wel de hele vraag lezen aub. ;). Enne, Ueberhaupt ip6tables? pf kent gewoon ipv6 hoor. En snapt dat een stuk beter. ;)
Although je er met pf natuurlijk macro's en lists voor kan gebruiken.
De twee meest gebruikte overstap-protocollen zijn 6to4 en Teredo, via google kun je daar vast wel genoeg HOWTOs over vinden. Maar waarschijnlijk is het een stuk beter om meteen een 'echte' tunnel op te zetten (hurricane electric was al genoemd, die bieden gratis tunnels aan). Ik heb zelf een hele tijd lang 6to4 gebruikt, maar dat werkt toch vaak zeer matig. Teredo schijnt nog erger te zijn.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
