Баг с открытым доступом к WEB по адресу домашнего сегмента

[KirillR]

Кстати о файрволле ipv6... Я похоже багу нашел, ну или дыру. 
Сегодня перепроверил еще раз, похоже подтверждается.
Если на LAN назначить ipv6-subnet, с из префикса выданного туннельным брокером, то внутренний интерфейс роутера получает ipv6-адрес из этого диапазона. И оказывается, он никак не закрыт файрволлом!
Например, я успешно подключился к нему на порт 80 к админке, залогинился. А не должен был, т.к. внешний доступ к админке был запрещен настройками!
Войти в админку снаружи можно, зная нужный ip-адрес внутреннего интерфейса br0, по ссылке типа:

http://[2001:470:5c33:0:3c35:c976:xxxx:xxxx]

детали описывал в другой теме:

Прошу разработчиков посмотреть. Роутер Giga KN-1012, прошивка актуальная 4.3.6

[sergeyk]

7 минут назад, KirillR сказал:

Например, я успешно подключился к нему на порт 80 к админке, залогинился.

Доступ к HTTP-серверу настраивается командой

ip http security-level

[KirillR]

6 минут назад, sergeyk сказал:

Доступ к HTTP-серверу настраивается командой

ip http security-level

разумеется уже стоит private. результат выше.

[slomblobov]

@KirillR после перезагрузки устройства с активным режимом private доступ сохраняется?

[KirillR]

1 час назад, slomblobov сказал:

@KirillR после перезагрузки устройства с активным режимом private доступ сохраняется?

перезагрузил. ничего не изменилось. доступ в админку по ipv6 на br0 есть.

[slomblobov]

3 minutes ago, KirillR said:

перезагрузил. ничего не изменилось. доступ в админку по ipv6 на br0 есть.

Тогда селфтест потребуется 

[KirillR]

1 час назад, KirillR сказал:

перезагрузил. ничего не изменилось. доступ в админку по ipv6 на br0 есть.

попробовал еще раз, и уже нет доступа... может после перезагрузки я как-то не так проверил...
сейчас даже порт не отвечает из внешней сети. 
----
Дополнение: оказывается весь туннель уже не работает как надо. Что-то сломалось после перезагрузки. Буду завтра еще разбираться.

---
Еще дополнение: починил роутинг, был конфликт по ipv6 с wg-интерфейсом warp.
И сразу проблема с http-доступом на br0 проявилась снова. так что бага подтверждается.

Edited September 17, 2025 by KirillR
дополнение

[slomblobov]

Спасибо, по селфтесту стало чуть больше понятно, касается только WEB сервера. Тикет NDM-4061.

[KirillR]

9 часов назад, slomblobov сказал:

касается только WEB сервера

Похоже да, снаружи доступны только 80 и 443. Проверил другие открытые порты на br0, например 222 (opkg ssh) и доступа снаружи нет.
Однако ipv6-пинг снаружи на адрес br0 есть, хотя статического правила я не делал. Не знаю, проблема это или нет.

Edited September 18, 2025 by KirillR

[Le ecureuil]

Большое спасибо за репорт, в следующих релизах будет исправлено.