Security: nginx und IPv6 ACLs für ::0/0

[Charly-uulm]

Hallo zusammen,

ich bin neu bei 3CX, allerdings im IT Bereich schon ein grauer Wolf.

Ich habe heute meine erste Debian 3CX on-premise installiert und wundere mich über die ACLs beim
nginx Server (/var/lib/3cxpbx/Bin/nginx/conf/nginx.conf):
...
server {
add_header X-Frame-Options "SAMEORIGIN";
listen 5000;
listen [::]:5000;
server_name FOOBAR.my3cx.de;
server_tokens off;

access_log off;
error_log /dev/null crit;

allow 192.168.0.0/16;
allow 172.16.0.0/12;
allow 10.0.0.0/8;
allow 127.0.0.1;
allow ::0/0;
deny all;
...

Also ich stolperte hierbei über die IPv6 Adresse ::0/0

Also wenn es localhost sein sollte, müsste es ::1/128 lauten, die Schreibweise ::0/0 ist

a.) falsch, ::0 müsste man :: schreiben
b.) und ::/0 ist die unbestimmte IPv6 Adresse, analog zu 0.0.0.0/0 im IPv4

somit dürfen hier mit der ACL auf dieser Zugriffsebene alle IPv6 Adressen den nginx Server kontaktieren.

ist das ein Bug oder bin ich auf dem Holzweg?

Viele Grüße
Charly

 

[certifiedit]

Hallo Charly,

nein, ich denke mit

> b.) und ::/0 ist die unbestimmte IPv6 Adresse, analog zu 0.0.0.0/0 im IPv4

liegst du richtig. Aber wie wir alle wissen, IPv6 ist noch lange nicht so weit, wie es mal gedacht war. Gefühlt seit 2006-2008 wird uns das Ende der IPv4-Adressen an die Wand gemalt...nunja...

 

[mbehrens]

Hallo Charly,

nein, ich denke mit

> b.) und ::/0 ist die unbestimmte IPv6 Adresse, analog zu 0.0.0.0/0 im IPv4

liegst du richtig. Aber wie wir alle wissen, IPv6 ist noch lange nicht so weit, wie es mal gedacht war. Gefühlt seit 2006-2008 wird uns das Ende der IPv4-Adressen an die Wand gemalt...nunja...

Das sehe ich ausdrücklich anders. Es ist schon lange so weit. Es gibt inzwischen sogar SIP Provider, die dieses Protokoll ausdrücklich bevorzugen.

 

[certifiedit]

Sicherlich gibt es die und im Mobile-Sektor hast du auch Recht, aber eben insbesondere nur dort. Auch wenn es mancherorts bereits eine gewisse Priorisierung in der Hinsicht gibt. Aber das beschränkt sich eben auf mancherorts, dies zeigt sich auch bei den üblichen ISP Tarifen, beworben werden primär die "eine" feste IPv4, nicht der komplette IPv6 Block