使用 IPv6 进行网络隔离

Question

我的理解是网络地址转换 (NATing) 随着 IPv6 消失。我们如何将网络资源与互联网的其余部分隔离给需要它们的人？我特别考虑允许远程用户（例如在家工作的用户）访问内部网络资源，例如文件服务器或 VM 主机。

今天的 IPv4 中也出现了类似的情况。在许多大学，包括我自己的大学，每个网络设备都有一个可公开路由的 IP。我想运行一个文件服务器，但真的不希望它可以公开访问。理想情况下，它也将具有公共 IP，并且不需要 VPN。

注释？

Answer 1

我们如何将网络资源与互联网的其余部分隔离给需要它们的人？

这就是有状态防火墙的用途。NAT 提供的隔离实际上只是提供了一种虚假的安全感，除了默默无闻的安全之外，对其他任何事情都没有好处。

也就是说，虽然迁移到 IPv6 后需要 NAT 的频率要低得多，但它不会很快消失。事实上，无论好坏，NATv6 实现已经存在，并且今天在各种组织中投入生产。

仅仅因为一个设备具有公网IP地址并没有以任何方式意味着它是公开访问的。您的默认防火墙策略应该是默认拒绝，然后根据需要只允许进出特定端口或子网的流量。