stemax97 Il prolema è: filtri in quale verso? 🙂
Lasciando perdere UDP che è stateless per definizione, concentriamoci sul TCP; per limitare l'uso del 6rd ai "suoi" clienti operando solo con filtri stateless/ACL, Fastweb dovrebbe scartare i pacchetti con flag SYN non originati dai suoi blocchi, giusto? Peccato che facendo così spacchi tutto: non essendoci NAT in mezzo, un indirizzo "tradotto" IPv6 6rd può essere il lato "server" di una connessione, ed essere direttamente raggiungibile dall'esterno della rete (classico esempio: una telecamera, che sotto IPv4 vedrebbe il DNAT, con IPv6 ha il suo indirizzo proprio, e il TCP SYN arriva dal tuo cellulare che la vuol visionare). Il tunnel e il range di indirizzi allocati in questo modo sarebbe "inutile" perché di fatto permetterebbe solo connessioni outbound, alla stregua di un CGNAT.
Con il NAT la cosa sta in piedi perché il router che maschera gli indirizzi possiede la tabella dei flussi (connection table, conntrack, state table, chiamala come vuoi...) e può scartare pacchetti che non corrispondono ad un flow definito e iniziato da un client mascherato, ma questo non si verifica nei 6rd, anzi pensa a quale sarebbe la mole di tali flow table con i milioni di indirizzi e porte disponibili e assegnati! Pensa che anche solo nel routing dei pacchetti IPv6 si considerano solo (generalmente) i primi 64 bit dell'indirizzo, lasciando gli ultimi 64 al device una volta individuato il dominio L2 di appartenenza.
Spero sia almeno vagamente comprensibile.
