Un firewall può apparire corretto sul traffico IPv4 e lasciare percorsi diversi su IPv6, container o routing. Prima di aggiungere regole occorre ricostruire hook, priorità e chi gestisce il ruleset. La verifica deve seguire i flussi reali, non soltanto leggere una policy drop.
Obiettivo, pubblico e prerequisiti: verificare un ruleset nftables dual stack seguendo i flussi effettivi. È rivolto ad amministratori con console di recupero, inventario di interfacce e servizi, copia del ruleset e ambiente di collaudo.
Uso autorizzato: opera soltanto su sistemi amministrati nel tuo incarico. Non applicare regole non collaudate da remoto; usa controllo sintattico, rollback temporizzato e una sessione fuori banda prima di modificare il traffico.
Distinguere il traffico per percorso
La famiglia inet di nftables permette di gestire IPv4 e IPv6 nello stesso ruleset. Non rende però equivalenti input, output e forward. Un servizio sul sistema locale e un pacchetto inoltrato verso un workload possono attraversare hook differenti.
Raccogliere interfacce, indirizzi, routing, servizi esposti e regole gestite da altre applicazioni. Docker, sistemi di orchestrazione o un frontend firewall possono mantenere proprie catene. Non sovrascrivere questi componenti con un flush globale: identificare prima il proprietario di ogni tabella e il percorso da proteggere.
Leggere prima di cambiare
Per un inventario locale usare il comando seguente. Il risultato può contenere indirizzi dell’infrastruttura: trattarlo come configurazione operativa.
sudo nft -a list rulesetIl manuale nft documenta hook, verdetti e opzioni CLI. Per ogni flusso disegnare ingresso, decisione di routing, hook e uscita. Annotare le catene base e le loro priorità. L’accept in una catena base non va interpretato come una garanzia universale che nessun altro hook o catena possa ancora scartare il pacchetto. Verificare sul sistema installato invece di dedurre l’esito da una regola isolata.
Conntrack e IPv6 hanno conseguenze operative
L’esempio ufficiale per workstation include traffico established,related, loopback e ICMPv6 necessario. È un esempio per quel contesto, non un firewall pronto per un server di produzione o un router.
Una policy stateful deve essere valutata anche con connessioni nuove: una sessione amministrativa già stabilita può continuare mentre un nuovo accesso fallisce. ICMPv6 non è soltanto ping; bloccarlo indiscriminatamente può interferire con funzioni necessarie alla connettività IPv6. Definire la policy in base al ruolo dell’host e provare il funzionamento di entrambi gli stack.
Evidenze riproducibili: un piano di collaudo
| Prova | Esito da registrare |
|---|---|
| Nuovo accesso amministrativo IPv4/IPv6 | Consentito solo dal percorso previsto |
| Porta non pubblicata | Rifiuto osservato e attribuito alla regola corretta |
| DNS e servizi interni | Risoluzione e comunicazioni necessarie funzionanti |
| Workload inoltrato | Policy forward effettivamente attraversata |
| Rollback | Recupero da console entro il tempo previsto |
La matrice è una proposta operativa. Eseguire le prove da più segmenti e da un’origine esterna controllata. Una scansione locale non dimostra ciò che vede un client remoto. Usare contatori o tracing mirato per attribuire gli esiti, limitando volume e durata delle osservazioni.
Mitigazione: controllare la candidata senza applicarla
sudo nft --check --file candidata.nftLa verifica di una candidata è utile prima dell’applicazione, ma non sostituisce i test sul percorso e non certifica che una connessione remota rimarrà accessibile. Preparare copia del ruleset e recupero fuori banda. Dopo la modifica ripetere le prove con nuove connessioni e verificare che il gestore del sistema non riscriva le regole al successivo reload.
Chiudere la modifica con una mappa dei flussi autorizzati e delle eccezioni. La conformità tra quella mappa e il traffico osservato è un risultato più utile di un numero elevato di regole.
Fonti essenziali
Riferimenti primari consultati il 3 ottobre 2026. Le procedure di analisi e gli scenari di laboratorio sono proposte editoriali: vanno adattati alla telemetria e alle versioni installate.
AUTORE
Redazione ThreatHunting.it
Da piu' di 30 anni sono appassionato di computers e tecnologia. il mio primo programma lo sviluppai in Basic nel 1989, non era un gran che :).. ma quella voglia di scrivere codici non mi ha piu' lasciato …
COMMUNITY
Non ci sono ancora commenti. Puoi iniziare tu la conversazione.