6️⃣ IPv6 e sicurezza: firewall, indirizzi pubblici e configurazione

🔄 Cosa cambia rispetto a IPv4?

Nelle normali reti domestiche IPv4 il router assegna ai dispositivi indirizzi appartenenti a spazi privati, come 192.168.0.0/16, 10.0.0.0/8 oppure 172.16.0.0/12. Questi indirizzi non vengono instradati sulla rete Internet pubblica.

Il router utilizza quindi NAT, spesso nella forma NAPT/PAT, per permettere a numerosi dispositivi interni di condividere l’indirizzo IPv4 pubblico della connessione.

IPv6 dispone invece di uno spazio di indirizzamento enormemente più grande e non richiede questo meccanismo semplicemente per conservare indirizzi. Il provider può delegare al router un prefisso IPv6, dal quale vengono ricavati gli indirizzi utilizzati nella rete domestica.

🔒 Un indirizzo IPv6 globale non significa servizio aperto

Supponiamo che un computer della LAN possieda un indirizzo IPv6 globale. Dal punto di vista del routing Internet esiste potenzialmente un percorso verso quell’indirizzo, ma questo non implica che un host esterno possa iniziare liberamente una connessione TCP o UDP verso il computer.

Un router configurato correttamente utilizza un firewall IPv6 che permette normalmente le risposte alle connessioni iniziate dall’interno e blocca le nuove connessioni non autorizzate provenienti dalla WAN.

🛡️ Come funziona un firewall stateful

Un firewall stateful non osserva soltanto indirizzi e porte, ma mantiene informazioni sullo stato delle comunicazioni. Quando un dispositivo della LAN apre una connessione verso Internet, il firewall registra il flusso e permette al traffico di risposta di rientrare.

Una nuova connessione proveniente spontaneamente dalla WAN non appartiene invece a una sessione già autorizzata e può quindi essere bloccata.

🏠 NAT non è un firewall

In IPv4 il comportamento del NAT ha contribuito a creare l’impressione che fosse proprio la traduzione degli indirizzi a proteggere la rete. In realtà, nei router domestici NAT e firewall lavorano spesso insieme, rendendo poco evidente all’utente quale componente stia effettuando il filtraggio.

La funzione di sicurezza che ci interessa è la capacità di stabilire quali connessioni siano autorizzate ad attraversare l’interfaccia WAN verso la LAN. Questa funzione appartiene al firewall.

📌 Quali indirizzi IPv6 può avere un dispositivo?

Una singola interfaccia IPv6 può possedere contemporaneamente più indirizzi. Questo comportamento è normale e non deve essere interpretato come un errore di configurazione.

🔗 Indirizzi link-local

Gli indirizzi link-local IPv6 appartengono allo spazio fe80::/10 e vengono utilizzati per comunicazioni che devono rimanere sul collegamento locale. Sono fondamentali per numerosi meccanismi interni di IPv6.

Non vengono normalmente instradati attraverso i router verso Internet e possono comparire accanto agli indirizzi globali nell’elenco delle configurazioni di rete di Windows, Linux, macOS e altri sistemi.

🌐 Global Unicast Address

Un Global Unicast Address è un indirizzo IPv6 progettato per essere globalmente instradabile. In una rete domestica può essere generato utilizzando il prefisso delegato dal provider e assegnato ai dispositivi attraverso meccanismi come SLAAC oppure DHCPv6, secondo l’architettura della rete.

La presenza di questo indirizzo permette una comunicazione end-to-end più diretta rispetto al modello NAT IPv4, ma il firewall continua a determinare quali connessioni provenienti dall’esterno siano consentite.

🕵️ Privacy Extensions

Uno dei problemi discussi nelle prime implementazioni IPv6 riguardava la possibilità che un identificatore relativamente stabile dell’interfaccia potesse facilitare il tracciamento del dispositivo attraverso reti differenti.

I moderni sistemi operativi possono utilizzare indirizzi temporanei o meccanismi che rendono meno stabile l’identificatore utilizzato per le connessioni in uscita. Un dispositivo può quindi avere contemporaneamente un indirizzo più stabile e uno o più indirizzi temporanei.

⚙️ SLAAC e DHCPv6

In IPv6 l’assegnazione degli indirizzi non funziona necessariamente come il classico DHCP utilizzato in molte reti IPv4. Con SLAAC un dispositivo può costruire autonomamente il proprio indirizzo utilizzando le informazioni annunciate dal router.

DHCPv6 può invece essere utilizzato per distribuire determinate informazioni e, nelle configurazioni stateful, anche indirizzi. Le reti possono inoltre combinare diversi meccanismi.

📡 ICMPv6 non deve essere bloccato indiscriminatamente

In IPv4 molti utenti hanno imparato ad associare ICMP quasi esclusivamente al comando ping e alcuni firewall sono stati configurati per bloccarlo completamente. Applicare la stessa logica a IPv6 può provocare problemi.

ICMPv6 svolge funzioni importanti per il corretto funzionamento della rete, comprese diverse operazioni di segnalazione, Neighbor Discovery e gestione della dimensione dei pacchetti lungo il percorso.

📦 IPv6 e MTU

IPv6 dipende dal corretto funzionamento del Path MTU Discovery per adattare la dimensione dei pacchetti al percorso disponibile. Alcuni messaggi ICMPv6 comunicano che un pacchetto è troppo grande per essere inoltrato lungo un determinato tratto.

Bloccare impropriamente questi messaggi può produrre situazioni particolarmente fastidiose nelle quali alcuni siti funzionano, altri sembrano caricarsi solo parzialmente e determinate connessioni si bloccano senza una causa apparentemente evidente.

🚪 Come si apre un servizio verso Internet con IPv6?

Con IPv4 siamo abituati a creare una regola di port forwarding che associa una porta dell’indirizzo pubblico a un dispositivo privato della LAN. Con IPv6, in una configurazione senza NAT, non è necessariamente necessario tradurre l’indirizzo.

Bisogna invece creare una regola firewall che consenta il traffico desiderato verso l’indirizzo IPv6 del dispositivo interessato. L’interfaccia utilizzata cambia da router a router e alcuni produttori possono comunque presentare questa funzione con terminologie simili al port forwarding.

📷 Attenzione ai dispositivi IoT

Telecamere, prese intelligenti, sistemi domotici e altri dispositivi IoT possono ricevere connettività IPv6 esattamente come computer e smartphone. Per questo motivo non bisogna presumere che un dispositivo sia protetto semplicemente perché non abbiamo creato un port forwarding IPv4.

La protezione deve essere verificata anche nelle regole firewall IPv6. In una rete segmentata possiamo inoltre mantenere gli IoT in una VLAN o rete separata, limitando le comunicazioni verso gli altri dispositivi della LAN.

🔌 UPnP e IPv6

Le tecnologie utilizzate dai dispositivi per richiedere automaticamente connettività attraverso il router possono comportarsi diversamente tra IPv4 e IPv6. Per questo non bisogna limitarsi a controllare esclusivamente l’elenco delle tradizionali regole NAT IPv4.

Quando il router offre controlli separati per autorizzazioni IPv6, pinhole o regole firewall create automaticamente, è opportuno verificare anche queste sezioni.

🔗 VPN e IPv6

Quando utilizziamo una VPN dobbiamo decidere esplicitamente come trattare sia IPv4 sia IPv6. Una configurazione che instrada tutto il traffico IPv4 nel tunnel ma lascia IPv6 sulla connessione locale può produrre un comportamento differente da quello previsto.

Se desideriamo un vero full tunnel dual stack, dobbiamo verificare che il servizio VPN e il client siano configurati anche per IPv6. Se invece il tunnel deve raggiungere soltanto determinate reti, le rotte devono essere definite coerentemente.

💻 Firewall del sistema operativo

Il firewall del router rappresenta una protezione importante sul confine della rete, ma non dovrebbe essere l’unico livello di difesa. Windows, Linux, macOS e molti altri sistemi dispongono di firewall locali capaci di controllare quali servizi possono accettare connessioni.

Questo approccio diventa ancora più importante in reti nelle quali esistono più VLAN, reti guest, VPN o dispositivi che possono comunicare internamente senza attraversare necessariamente il firewall WAN del router.

🔐 IPv6 rende la rete meno sicura?

IPv6 non rende automaticamente una rete meno sicura. Cambia però alcune delle abitudini sviluppate nell’era delle reti IPv4 con NAT e richiede di comprendere meglio il ruolo del firewall.

Il rischio nasce soprattutto quando IPv6 viene attivato senza essere considerato nelle politiche di sicurezza, per esempio configurando attentamente il firewall IPv4 ma ignorando completamente quello IPv6.

⚙️ Configurazione sicura passo dopo passo

🔎 Checklist di sicurezza IPv6

• Firewall IPv6 attivo sul router.
• Nuove connessioni WAN bloccate per impostazione predefinita.
• Nessun servizio amministrativo esposto senza necessità.
• Regole IPv6 controllate separatamente da IPv4.
• ICMPv6 non bloccato indiscriminatamente.
• Dispositivi IoT protetti e possibilmente segmentati.
• Firewall locali attivi sui computer.
• VPN configurata correttamente anche per IPv6.
• Router e dispositivi aggiornati.
• Regole obsolete eliminate.

🧩 IPv6 funziona male: problemi comuni

⚠️ Errori comuni

• Pensare che indirizzo IPv6 globale significhi automaticamente porta aperta.
• Considerare NAT e firewall come la stessa tecnologia.
• Disattivare IPv6 soltanto perché non utilizza il tradizionale NAT IPv4.
• Bloccare completamente ICMPv6.
• Controllare soltanto le regole IPv4 del router.
• Dimenticare IPv6 nella configurazione VPN.
• Ignorare IPv6 sulle VLAN dedicate agli IoT.
• Aprire servizi verso Internet senza verificare il firewall locale del dispositivo.
• Confondere indirizzi link-local e globali.
• Preoccuparsi della presenza di più indirizzi IPv6 sulla stessa interfaccia senza verificarne prima il tipo.

🧪 Esempio pratico: PC con indirizzo IPv6 globale

Immaginiamo che il provider assegni al router un prefisso IPv6 e che il nostro PC riceva un indirizzo globale. Aprendo le proprietà della scheda di rete possiamo vedere contemporaneamente un indirizzo link-local e uno o più indirizzi globali.

Il PC apre una connessione HTTPS verso un sito Internet. Il firewall del router registra il flusso e permette alle risposte del server di tornare verso il computer. Tutto funziona senza che sia necessario tradurre l’indirizzo attraverso NAT.

Un host casuale su Internet prova invece ad aprire una nuova connessione verso una porta TCP del nostro computer. Se il firewall IPv6 è configurato con una normale politica di blocco delle connessioni WAN non richieste, il traffico viene fermato.

Se vogliamo pubblicare intenzionalmente un server, possiamo creare una regola specifica che autorizzi esclusivamente il traffico necessario verso quel dispositivo. In questo modo la sicurezza deriva da una politica esplicita del firewall e non dalla traduzione degli indirizzi.