Facebook è molto intelligente con il loro schema di indirizzi IPv6, ma mi ha fatto pensare agli ACL ed è possibile scrivere un ACL IPv6 Cisco IOS che corrisponda? In IPv4 potresti abbinare un ottetto medio come 10.xxx.10.xxx per colpire qualsiasi 'x' con 'non importa'. Non penso che ciò sia possibile in IPv6, almeno non da IOS 15.1.
Nel caso del mio esempio, dato che Facebook è stato intelligente, è facile abbinarlo su FACE: B00C, se possibile. In un certo senso questo semplifica perché senza cercare quale blocco è stato assegnato, posso solo abbinare su quell'intervallo.
2A03: 2880: F000: [0000-FFFF]: FRONTE: B00C :: / 96
Il modo ovvio e normale è quello di abbinare 2A03: 2880: F000 :: / 48 ma sfortunatamente, non sono sicuro a colpo d'occhio se FB ha un intervallo più ampio (probabilmente lo fa). Quindi, in questo caso particolare, se potessi corrispondere solo alla parte FACE: B00C, potrei abbinare tutto ciò che stanno usando, supponendo che non passino a FACE: B00D
Dal momento che non riesco a inserire una maschera jolly in IOS per e IPv6 ACL, non penso che tu possa farlo, ma sono curioso di sapere se qualcuno ha una soluzione interessante. Penso che sarebbe utile saperlo perché ad un certo punto potrei aver bisogno di filtrare un sottoblocco solo a causa di DDoS o traffico aggressivo senza voler bloccare un intero / 32 per un grande fornitore.
Inoltre, ciò potrebbe consentire il reindirizzamento o la definizione delle priorità del traffico basato su criteri. Se mi rendo conto che le pubblicità si trovano in un blocco diverso, potrei QoS in modo diverso, ad esempio, una bella funzionalità per collegamenti satellitari congestionati a bassa larghezza di banda.
EDIT: per chiarire un po '. Ci possono essere casi in cui ho bisogno di bloccare o consentire determinati intervalli in un blocco di grandi dimensioni come un / 32. Questi possono essere leggermente contigui e piuttosto che centinaia di voci, un carattere jolly potrebbe corrispondere a grandi parti di esse. Questo potrebbe anche essere usato per l'ingegneria del traffico nel modo in cui potrei instradare tutti i blocchi 10.x.10.0 dove se x è dispari, va da un percorso a un altro.
Un altro esempio è un DDoS in cui l'IP di origine IPv6 viene falsificato con un modello che indica il nome del gruppo degli hacker. Questo accadrà almeno una volta, sarebbe bello poterlo filtrare.
Un ACL compatto è più pulito ma non sempre più gestibile. Queste cose possono essere idee / pratiche buone o cattive, non qui per sostenerlo, solo cercando di capire quali strumenti ho e quali strumenti potrei avere da creare.
...:face:b00c:0:1non è stato ripreso dal tuo approccio.