Acesso via IPv6 Link-Local - Histórico de revisão

Fernando.frediani: Ajustada lista de categorias

2019-09-13T15:51:03Z

Ajustada lista de categorias

Gondim: /* Como descobrir o Link-Local do equipamento que você quer acessar? */

2019-05-20T15:04:08Z

Como descobrir o Link-Local do equipamento que você quer acessar?

Fernando.frediani: Fernando.frediani moveu Acesso via IPv6 Link - Local para Acesso via IPv6 Link-Local

2019-05-20T01:11:35Z

Fernando.frediani moveu Acesso via IPv6 Link - Local para Acesso via IPv6 Link-Local

Fernando.frediani: Fernando.frediani moveu Acesso via Link - Local para Acesso via IPv6 Link - Local: Descrição mais completa

2019-05-20T01:10:43Z

Fernando.frediani moveu Acesso via Link - Local para Acesso via IPv6 Link - Local: Descrição mais completa

Gondim: /* O que seria esse tal Link-Local? */

2019-05-19T21:01:03Z

O que seria esse tal Link-Local?

Gondim: /* Como descobrir o Link-Local do equipamento que você quer acessar? */

2019-05-19T20:42:07Z

Como descobrir o Link-Local do equipamento que você quer acessar?

Gondim: /* Como descobrir o Link-Local do equipamento que você quer acessar? */

2019-05-19T20:38:24Z

Como descobrir o Link-Local do equipamento que você quer acessar?

Gondim: Acesso via Link-Local

2019-05-19T20:29:29Z

Acesso via Link-Local

Gondim: Como usar o Link-Local para salvar a sua vida.

2019-05-19T20:26:44Z

Como usar o Link-Local para salvar a sua vida.

Gondim: Como usar o link-local pra acessar outro equipamento.

2019-05-19T19:10:30Z

Como usar o link-local pra acessar outro equipamento.

Página nova

{{DISPLAYTITLE:Acesso via Link-Local}}

== Descrição do problema ==
As vezes passamos por situações que nos levam ao desespero. Um exemplo que se passou comigo hoje: estava atualizando um equipamento e ao mexer em suas regras de Firewall, acabei cometendo um erro clássico de desabilitar as regras mas deixando um drop all por padrão. Não preciso dizer que nesse momento minha conexão remota caiu, eu estava à uns 40Km de distância do equipamento e em pleno domingão chuvoso. Na hora paralisei e bateu aquele desespero pois haviam mais de 1000 assinantes conectados nesse B-RAS PPPoE. Já ia me arrumar para pegar a estrada quando pensei: Ora eu só errei nas regras de INPUT. Em sistemas que usam kernel Linux, costuma-se usar o Netfilter/IPTables e os filtros na chain INPUT só afetam pacotes direcionados com destino a caixa. Nesse caso o FORWARD estava OK e os clientes acessando normalmente. Agora sim posso com calma e sem desespero, pensar em uma forma de acessar a caixa remotamente. Mas como se havia um drop all na chain INPUT?

== Luz no fim do túnel ==
Como nossos B-RAS são configurados com um certo padrão, entrei em outra caixa para verificar as regras e lembrei do nosso amado IPv6 e que também existe um Firewall independente do IPv4. Ao contrário de muitos, nós aqui colocamos regras em IPv6 também porque ataques e tentativas de acesso podem vir de qualquer lugar. Mas nas regras de INPUT do IPv6 eu libero icmpv6 e o link-local (fe80::/10).

Me senti no filme Vingadores onde o Dr. Estranho disse que haviam 14 milhões de finais dando errado e apenas 1 que resolveria meu problema.

@@ Linha 80: / Linha 80: @@
 [[Categoria:IPv6]]
 [[Categoria:Infraestrutura]]
 [[Categoria:Geral]]

@@ Linha 33: / Linha 33: @@
 == Como descobrir o Link-Local do equipamento que você quer acessar? ==
 Bem, se você souber o mac address da interface do equipamento bloqueado, basta fazer como mostrado acima que vai descobrir qual o endereço fe80 designado pra interface que você quer acessar. Agora se não souber qual o mac address, vai ter que ser um à um mesmo. Sorry.
 Os exemplos que vou citar abaixo são referentes à um sistema GNU/Linux que eu tive acesso para resolver meu problema. Esse sistema estava na mesma rede física que o equipamento o qual perdi o acesso. Pode ser que você necessite consultar seus manuais técnicos, caso seja um sistema diferente. Abaixo estou consultando o NDP (Neighbor Discovery Protocol) filtrando pela interface enp3s0f0 do meu equipamento e ainda filtrando o que for fe80:

@@ Linha 20: / Linha 20: @@
 # Converta o primeiro octeto para binário (Dica: ''cada algarismo tem 4 bits, pegue os dois primeiros algarismos do IPv6 incompleto''): 52 -> 01010010
 # Inverta o sétimo Bit (da esquerda para direita ->): 010100'''1'''0 -> 010100'''0'''0
-# Converta para decimal: 01010000 -> 50
+# Converta para hexadecimal: 01010000 -> 50
 # Troque o primeiro octeto recalculado (de 52 para 50): 5074:f2ff:feb1:a87f
 # Insira o prefixo do link-local mais dois “dois pontos” ('''FE80::'''): '''FE80::'''5074:f2ff:feb1:a87f

@@ Linha 34: / Linha 34: @@
 Bem, se você souber o mac address da interface do equipamento bloqueado, basta fazer como mostrado acima que vai descobrir qual o endereço fe80 designado pra interface que você quer acessar. Agora se não souber qual o mac address, vai ter que ser um à um mesmo. Sorry.
-Os exemplos que vou sitar abaixo são referentes à um sistema GNU/Linux que eu tive acesso para resolver meu problema. Esse sistema estava na mesma rede física que o equipamento o qual perdi o acesso. Pode ser que você necessite consultar seus manuais técnicos, caso seja um sistema diferente. Abaixo estou consultando o NDP (Neighbor Discovery Protocol) filtrando pela interface enp3s0f0 do meu equipamento e ainda filtrando o que for fe80:
+Os exemplos que vou citar abaixo são referentes à um sistema GNU/Linux que eu tive acesso para resolver meu problema. Esse sistema estava na mesma rede física que o equipamento o qual perdi o acesso. Pode ser que você necessite consultar seus manuais técnicos, caso seja um sistema diferente. Abaixo estou consultando o NDP (Neighbor Discovery Protocol) filtrando pela interface enp3s0f0 do meu equipamento e ainda filtrando o que for fe80:
 <code># ip -6 neighbor|grep enp3s0f0|grep fe80</code>

@@ Linha 32: / Linha 32: @@
 == Como descobrir o Link-Local do equipamento que você quer acessar? ==
-Bem, se você souber o mac address da interface que você quer acessar, basta fazer como mostrado acima que vai descobrir qual o endereço fe80 designado pra interface que você acessar. Agora se não souber qual o mac address, vai ter que ser um à um mesmo.
+Bem, se você souber o mac address da interface do equipamento bloqueado, basta fazer como mostrado acima que vai descobrir qual o endereço fe80 designado pra interface que você quer acessar. Agora se não souber qual o mac address, vai ter que ser um à um mesmo. Sorry.
 Os exemplos que vou sitar abaixo são referentes à um sistema GNU/Linux que eu tive acesso para resolver meu problema. Esse sistema estava na mesma rede física que o equipamento o qual perdi o acesso. Pode ser que você necessite consultar seus manuais técnicos, caso seja um sistema diferente. Abaixo estou consultando o NDP (Neighbor Discovery Protocol) filtrando pela interface enp3s0f0 do meu equipamento e ainda filtrando o que for fe80:

← Edição anterior		Edição das 20h29min de 19 de maio de 2019
Linha 76:		Linha 76:

	Autor: [https://wiki.brasilpeeringforum.org/w/Usu%C3%A1rio:Gondim Marcelo Gondim]		Autor: [https://wiki.brasilpeeringforum.org/w/Usu%C3%A1rio:Gondim Marcelo Gondim]
		+	[[Categoria:IPv6]]
		+	[[Categoria:Infraestrutura]]
		+	[[Categoria:Interconexão]]
		+	[[Categoria:Roteamento]]
		+	[[Categoria:Geral]]

@@ Linha 1: / Linha 1: @@
 {{DISPLAYTITLE:Acesso via Link-Local}}
-== Descrição do problema ==
+== Descrição do problema. ==
 As vezes passamos por situações que nos levam ao desespero. Um exemplo que se passou comigo hoje: estava atualizando um equipamento e ao mexer em suas regras de Firewall, acabei cometendo um erro clássico de desabilitar as regras mas deixando um drop all por padrão. Não preciso dizer que nesse momento minha conexão remota caiu, eu estava à uns 40Km de distância do equipamento e em pleno domingão chuvoso. Na hora paralisei e bateu aquele desespero pois haviam mais de 1000 assinantes conectados nesse B-RAS PPPoE. Já ia me arrumar para pegar a estrada quando pensei: Ora eu só errei nas regras de INPUT. Em sistemas que usam kernel Linux, costuma-se usar o Netfilter/IPTables e os filtros na chain INPUT só afetam pacotes direcionados com destino a caixa. Nesse caso o FORWARD estava OK e os clientes acessando normalmente. Agora sim posso com calma e sem desespero, pensar em uma forma de acessar a caixa remotamente. Mas como se havia um drop all na chain INPUT?
-== Luz no fim do túnel ==
+== Luz no fim do túnel. ==
 Como nossos B-RAS são configurados com um certo padrão, entrei em outra caixa para verificar as regras e lembrei do nosso amado IPv6 e que também existe um Firewall independente do IPv4. Ao contrário de muitos, nós aqui colocamos regras em IPv6 também porque  ataques e tentativas de acesso podem vir de qualquer lugar. Mas nas regras de INPUT do IPv6 eu libero icmpv6 e o link-local (fe80::/10).
 Me senti no filme Vingadores onde o Dr. Estranho disse que haviam 14 milhões de finais dando errado e apenas 1 que resolveria meu problema.