ipv6 autoconf vs ip6tables

А должен разве? conntrack это уровень выше TCP/UDP.

Но DHCPv4 с приведённым набором правил для обычных iptables работает. Там UDP + broadcast. И icmp(v6) уровнем выше ip(v6), хотя по предназначению это L2-L3.

Эм, ICMPv6 - это основа IPv6(в отличие от IPv4, где без него худо бедно можно). Рубить его на корню - идея не очень.

почему conntrack не прочухал, что ответ на router solicitation - это ESTABLISHED,RELATED?

А почему не разрешаются icmp reply в IPv4 таким же макаром? Причина та же - не впилили, посчитав это не нужным или даже вредным.

А почему не разрешаются icmp reply в IPv4 таким же макаром?

Разрешаются. С вышеприведённым конфигом ты можешь пинговать внешние хосты, и reply прилетит, потому что RELATED. А они тебя - нет

а, пардон, я на задачу посмотрел со стороны СЕРВЕРА, который как раз пинговаться не будет, как ты и сам знаешь.

Ну тогда хз, задай подобный вопрос в LKML, пусть знающие люди тебе ответят...

Можешь пинговать, но только обычным пингом, с broadcast пингом RELATED не сработает.

Раньше ICMPv6 Neighbor Discovery пакеты определялись conntrack'ом всегда как INVALID, потом сделали патч http://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=3f9... , чтобы они определялись как UNTRACKED. Не знаю, может когда кто и напишет патч, чтобы были RELATED, но сомневаюсь.

О как. INVALID было совсем жестоко, у многих --state INVALID -j DROP стоит. Спасибо за разъяснения :)

Я как-то тоже сделал ip6tables -P INPUT DROP, после чего перестал работать роутер. Поначалу подумал что в ip6tables цепочку FORWARD отменили. :)

А все потому, что разработчики в перерывах между покуриванием каннабиса, решили вынести arp в ip6 на несколько уровней выше... Что не говорите, но нелогично делать address resolution поверх маршрутизируемого протокола. Хотя 1 плюс у этого подхода все-таки есть - фильтровать можно «не отходя от кассы», ибо нет нужды во всяких arptables и т.д. Но как видим этот подход чаще приводит к выстрелам себе в ногу. :)

Linux - стреляем себе в ногу с 1991 года (c)(r)

Ну, некоторая логика есть, link-local маршрутизироваться не должен. Но подъ*бали красиво, я долго не мог понять в чём дело.