Buenas jmfontani
Tengo un artículo enorme sobre IPv6 que habla extensamente sobre esto y otros problemas, aunque aun no lo he publicado, tengo que darle mejor forma y tal.
La cuestión es simple. Con IPv6 no tenemos NAT, en lo bueno y en lo malo. NAT como efecto secundario positivo siempre nos ha protegido del exterior, con lo que el 99% de todos los dispositivos fabricados y vendidos partían de base con esto, que siempre o casi siempre íbamos a estar detrás de un dispositivo NAT, con lo que nuestros dispositivos no iban a estar expuestos a Internet, se delegaba la seguridad automáticamente en NAT.
IPv6 rompe esto porque la filosofía es totalmente diferente. La filosofía bajo IPv6 es que cada dispositivo tenga una conexión directa a Internet, NAT deja de tener sentido, y cualquier seguridad queda obviamente delegada en el propio dispositivo, no se centraliza. Y esto tiene mucho sentido, porque si precisamente una de las grandes ventajas de IPv6 es evitar NAT y dispositivos realmente conectados a Internet, para que vamos a meter en el Router NAT otra vez.
Pero aparece entonces el problema, porque todos los dispositivos quedan expuestos a Internet, y esto en un mundo que de siempre se ha dado por sentado que los dispositivos estaban protegidos en la red local por NAT, crea un problema de seguridad enorme. Esto realmente no es culpa del Router ni de IPv6, es culpa de los fabricantes y desarrolladores de no tener en cuenta la seguridad, que debe de implantarse a nivel de dispositivo final, no de Router.
Dado esto último, y que podemos esperar sentados muchos años a que los dispositivos finales implementen medidas de seguridad mínimamente decentes, es imperativo el uso de Firewall en los Router que actúen sobre todo el tráfico IPv6. Y esto es aun mayor problema en la red de datos, porque seguramente y sin que lo sepas, tu teléfono cuando usa datos tendrá ya activado IPv6, estará expuesto a Internet sin ningún tipo de protección, puesto que antes estabas bajo CGNAT, ahora no.
En los Router domésticos que tenemos en casa, al menos en lo relativo a los HGU, algunos de ellos sí tienen ya esto previsto y por defecto se aplica el Firewall a todo el tráfico IPv6, filtrando por defecto todo el tráfico entrante no solicitado, algo similar a la protección por defecto que hace NAT, aunque no es NAT. Pero en otros HGU puede que esto no ocurra.
En el propio artículo aun por publica explicaba que en al menos en el HGU6 y el Askey RT3505 parecía que se añadían reglas para IPv6 específicas, pero en uno de los otros Mitrastar había observado que en principio esto no era así. Pero son al menos 5 HGU y cada firmware es diferente, con lo que es imposible hacer un seguimiento completo.
En cualquier caso, repito, la seguridad con IPv6 se debe de integrar por dispositivo, no por Router, esa es la filosofía con IPv6. El problema en este punto no lo tienen tanto los dispositivos de sobremesa, sino dispositivos móviles, sobre todo teléfonos, tablets y dispositivos domóticos, puesto que podrían encontrarse con muy desagradables sorpresas.
Pero vemos de nuevo aquí la ironía, cuantos se habrán quejado siempre de no poder tener ipv6 para no tener problemas de puertos con consolas y otros, pero en cambio sin un Firewall IPv6 que precisamente impida esto dejarías la consola o el dispositivo que sea un tanto vendido en Internet. Lo que ganas por un lado, lo pierdes por otro.
Saludos.
