2 月 2020

浅谈 Linux 上的 SLAAC：原理、配置和系统行为

7

TL; DR：本文简要介绍了 IPV6 自动配置的基本概念和原理，并讨论了在 Linux 下自动配置（aka. SLAAC）原理和坑点，其中：

启用 IPV6 SLAAC 并允许内核自动添加 IPV6 默认路由需要使 net.ipv6.conf.{iface}.autoconf = 1 且 net.ipv6.conf.{iface}.accept_ra = 1
如果启用了 net.ipv6.conf.{iface}.forwarding ，则对应网卡接口 accept_ra 需要为 2
上述 iface 既可以是 default/all，也可以是具体某个网卡接口，但是需要特别注意，对于部分 IPV6 配置项，仅修改 net.ipv6.conf.all 时不会应用到全部网卡接口，使用时请确认所需的网卡接口上配置正确。
另外在部分发行版中可能修改 accept_ra 实际不生效，系统可能出现预期外行为（无法自动获取的地址和路由，或配置为不需要 SLAAC 时系统仍会进行配置等），此时可检查系统中是否存在其他网络管理工具如 netplan 造成了遗留影响。

4

TL; DR：变更 sshd 这种高危操作三思而后行，最好留个后路谨防失联。
TL; DR 2：裸奔的 aria2c 可以用于写入文件最终导致 getshell，为了安全起见，公网上的 aria2c 建议禁用 rpc-listen-all 或/和设置足够强的 rpc token，也避免使用 root 运行 aria2c。

如 https://lwn.net/Articles/812537/ 所述，由于 SHA-1 签名算法的暴力破解成本已下降到可接受范围，OpenSSH 8.2 决定不再支持 ssh-rsa 签名算法，其结果是，过旧版本的 ssh-server 将无法使用高版本 ssh-client 连接，比如 CentOS6 的 5.3 不支持 ecdsa host key，也不支持 rsa-sha256 或更强的算法，摆在 CentOS6 用户面前的只有两条路，1. 升级 OpenSSH 版本，2. 准备一个旧版 ssh client 用来登陆老旧服务器。

很不巧的是我手头正好有一台老旧的、没有接 IPMI 管理网卡的 CentOS6 物理服务器，CentOS6 主源中没有符合要求版本的 OpenSSH（>5.7），于是我需要尝试自行编译或找一个别人编译好的二进制，于是我找到了 https://github.com/faishal/openssh-portable/releases/download/cent.os.6.7.openssh.7.3p1/openssh-7.3.zip ，事实表明它有坑，Google 搜出来的第一个结果也不一定总是靠谱的。