使用IPv6时如何避免暴露我的MAC地址？

#1 楼

这可以通过对IPv6的两个扩展来解决：


RFC 4941（又称“隐私寻址”）使出站连接可以使用临时随机生成的地址（每隔几个小时轮换一次）。

RFC 7217允许从不显示任何信息的不透明哈希生成主要的静态地址。

流行的操作系统至少支持一种方法，但越来越多地支持这两种方法。
/>请注意，这些特征是正交的。如果需要，可以同时使用两者。
稳定的私有地址
在某些操作系统中，不再从MAC或EUI-64生成主接口标识符，而是使用哈希或随机种子（通常根据RFC 7217）
这种地址在每个网络中仍然是静态的-同一机器上同一IPv6前缀内的同一操作系统应始终生成相同的后缀。它适合传入连接。


从Windows Vista开始的Windows使用自定义方案。
要检查该功能是否处于活动状态，请运行PowerShell命令：

Get-NetIPv6Protocol | fl RandomizeIdentifiers

要启用/禁用该功能：

Set-NetIPv6Protocol -RandomizeIdentifiers Enabled

Set-NetIPv6Protocol -RandomizeIdentifiers Disabled

也可以使用netsh interface ipv6来实现。


Linux上的NetworkManager使用连接配置文件的UUID作为种子的一部分，从NM v1.2.0开始支持RFC 7217。默认情况下，此功能在最近的NM版本中处于活动状态。
要启用或禁用此功能，请执行以下操作：
网络化类型使用此.network文件选项支持RFC 7217，但似乎要求您明确列出应为此模式使用的网络前缀：

nmcli con modify "<profilename>" ipv6.addr-gen-mode stable-privacy

如果没有匹配的前缀，它仍然会回退到EUI-64方法。


在Linux / BSD上，dhcpcd在/etc/dhcpcd.conf中使用此选项支持RFC 7217：

nmcli con modify "<profilename>" ipv6.addr-gen-mode eui64

要禁用此功能并使用传统的EUI-64标识符：

[Network]
IPv6Token=prefixstable:2001:db8:abcd:123::/64

从Linux v4.1.0起，Linux内核SLAAC支持RFC 7217。但是，必须通过通过sysctl存储秘密种子来手动激活它。
秘密密钥是一个128位十六进制字符串（形状类似于IPv6地址），可以使用以下命令生成该密钥：

slaac private

此密钥必须存储在net.ipv6.conf.default.stable_secret sysctl中。为了使其持久，可以将其放在/etc/sysctl.d/50-rfc7217.conf或类似文件中：

slaac hwaddr

设置密码会自动为所有网络接口激活此模式。要检查该功能是否处于活动状态，请在ip -d link中查找“ addrgenmode stable_secret”，或者在sysctl net.ipv6.conf.<ifname>.addr_gen_mode中查找值“ 2”。


临时专用地址
此功能（在RFC 4941）提供了其他地址，这些地址是随机生成的，每隔几个小时轮换一次。这些地址仅用于传出连接-您仍然为传入连接保留基于MAC或基于RFC7217的主地址。


Windows从Windows XP SP2开始支持临时地址。 />要启用/禁用此功能：

uuidgen | sed "s/-//g; s/..../:&/g; s/^://"

请注意，Windows现在支持从Vista开始的基于哈希的主地址生成，因此此功能并不那么重要。


Linux上的NetworkManager：尽管以下两个值与sysctl具有相同的含义，但NetworkManager的最新版本可单独处理RA（2 =首选隐私地址，1 =首选主地址）：

net.ipv6.conf.default.stable_secret = 84a0:d5aa:52b0:4d35:k567:3aa6:7af5:474c

请注意，NetworkManager现在支持从v1.2.0开始的基于RFC7217的主地址生成，因此此功能并不那么重要。
旁注：从1.4.0版本开始，NM也允许随机化MAC地址本身。将wifi.cloned-mac-address设置为stable，以便每个网络使用不同的MAC（推荐），或者将random设置为每个连接随机使用（可能会导致问题）。在所有情况下，<name>必须是连接名称，例如WiFi SSID或"Wired Connection 1"。使用nmcli con列出所有列表。
要使其成为新连接的默认设置，从1.2.0版本开始，您可以更改/etc/NetworkManager/NetworkManager.conf：

netsh interface ipv6 set privacy state=enabled
netsh interface ipv6 set privacy state=disabled

dhcpcd使用slaac ... temporary子选项支持临时地址：

 nmcli con modify <name> ipv6.ip6-privacy 2

 [connection]
 ipv6.addr-gen-mode=stable-privacy
 wifi.cloned-mac-address=stable

Linux内核SLAAC支持临时地址，但默认情况下不使用它们。可以通过设置以下系统来激活它们：

 slaac private temporary

all或default部件可替换为特定的接口名称；例如net.ipv6.conf.eth0.use_tempaddr。
（我使用ip link set eth0 down && ip link set eth0 up来强制分配地址，但是您也可以运行rdisc6 eth0或仅等待几分钟以进行下一次定期路由器广告。）


Mac OS X –自OS X 10.7 Lion起默认启用：

 slaac hwaddr temporary

如果使用临时地址，将是首选。


FreeBSD：

 sysctl net.ipv6.conf.all.use_tempaddr=2
 sysctl net.ipv6.conf.default.use_tempaddr=2

较旧的NetBSD版本：

 sysctl -w net.inet6.ip6.use_tempaddr=1

最新的NetBSD似乎不再具有内核SLAAC支持，在这种情况下，请遵循dhcpcd指令。


OpenBSD –在5.2中添加了支持；在5.3中已启用并默认为首选。

 sysctl net.inet6.ip6.use_tempaddr=1
 sysctl net.inet6.ip6.prefer_tempaddr=1

ifconfig在临时地址旁边显示“自动保密”。


有关配置的说明：


在Linux，OS X和所有BSD上，编辑/etc/sysctl.conf以使设置永久化。


在Windows上，更改将自动保留。 （如果希望仅持续到重启，则可以将store=active附加到netsh命令中。）

部分基于IPv6INT.net上的IPv6操作系统。另请参见IPv6常规说明

如果在IPv6地址中使用了硬件地址，则通常意味着您的网络使用IPv6无状态自动配置。在这种情况下，您只需选择自己的地址后缀并手动配置IPv6。
但是，即使手动添加的地址没有您的硬件信息，它仍然是静态的（与“隐私寻址”不同，后者经常更改地址）。此外，在大于2-3个设备的网络中，静态地址可能会很麻烦。

评论

---

在我的Mac和FRITZ！Box 7340路由器上有很好的副作用：我在ifconfig中得到两个地址。传出连接使用随机的autoconf临时地址，该地址有时会更改。好！但是对于传入的连接（在路由器中打开时），我仍然可以使用autoconf地址。我不介意在DNS记录中公开它（尽管也许我什至可以为此选择另一个地址）。

– Arjan
2011-2-9 18:56

---

@Arjan：de4d：b33f的IPv6地址对于记忆来说还不错。同样，它们是由其所有者放置的，而whois垃圾邮件是a）令人讨厌和b）由无法控制您的域的局外人造成的。

–user1686
2011年2月9日在20:13

---

顺便说一句：上面的（某些）似乎可以告诉OS首选临时地址，但应用程序仍可以覆盖此首选项。

– Arjan
2013年9月14日12:33在

---

@Tino：他们不会。 preferred_lft仅定义何时将地址用于新的传出连接，但是当该地址过期时，该地址在有效时间段内仍然保持有效。因此，即使在正常情况下，如果在10小时后不再喜欢使用临时地址（并生成了一个新地址），该地址仍将保持有效期大约一周。

–user1686
2014年5月8日13:20

---

在IMO中，您应该切换sysctl命令以获取有关添加到/etc/sysctl.conf（或在Arch Linux上为/etc/sysctl.d/any_file_name）的说明。很多人可能很忙，没有阅读整篇文章。而且，人们很少会希望仅在下一次重新启动之前进行此更改。

–扎兹
15年6月4日在20:42

---

#2 楼

仅供参考，这仅适用于某些IP寻址方案。您（或您的ISP）很有可能正在使用IPv6自动配置，这首先需要相当大的IP块才能完成。解决方法可能是关闭此功能。您的ISP可能也使用DHCP分配地址，而IPv6仍然可以使用。