IPv6-Router-Ankündigungen ignorieren

Warum es wichtig ist

In einem IPv6-Netz kündigen sich Router mit Router Advertisements an, und Ihr Rechner glaubt ihnen. Ein böswilliges Gerät im selben Netz kann eigene senden und Ihr Standard-Gateway werden, sich also zwischen Sie und das Internet setzen. Die Ankündigungen zu ignorieren schließt diesen Weg.

Wie es funktioniert

Setzt net.ipv6.conf.all.accept_ra und net.ipv6.conf.default.accept_ra auf 0, der Kernel ignoriert dann Router Advertisements. Ohne sie kann er IPv6-Adressen und Routen nicht automatisch einrichten.

Für wen es sich eignet

Nur für Netze, in denen Sie IPv6 von Hand setzen, oder in denen Sie kein IPv6 nutzen. In normalen Heim- und BüroNetzen, die Adressen so vergeben, lassen Sie es aus.

Was Sie bemerken könnten

IPv6 funktioniert nicht mehr: ip -6 addr zeigt nur eine Link-lokale Adresse, und Seiten, die IPv6 brauchen, können unerreichbar sein. IPv4 läuft meist weiter.

Auf Ihrem Computer prüfen

Den aktuellen Wert lesen:

sysctl net.ipv6.conf.all.accept_ra
sysctl net.ipv6.conf.default.accept_ra

Von Hand anwenden

Jetzt setzen (bis zum nächsten Neustart):

sudo sysctl -w net.ipv6.conf.all.accept_ra=0
sudo sysctl -w net.ipv6.conf.default.accept_ra=0

Nach Neustarts beibehalten, in einer eigenen Datei:

sudo tee /etc/sysctl.d/90-net-ipv6-router-adverts.conf <<'EOF'
net.ipv6.conf.all.accept_ra = 0
net.ipv6.conf.default.accept_ra = 0
EOF
sudo sysctl --system

Rückgängig machen

Entfernen Sie die Datei und starten Sie neu, oder setzen Sie den alten Wert mit sysctl -w zurück.

Verwandte Einstellungen

• ICMP-Redirects ignorieren und nie senden

Quellen

Linux Hardening Guide (madaidans)

2.2.2