IPv6 tidak rentan secara keamanan hanya karena tidak memiliki NAT

 (johnmaguire.me)
4 poin oleh GN⁺ 2026-01-22 | 1 komentar | Bagikan ke WhatsApp
  • Klaim bahwa IPv4 lebih aman karena secara default menggunakan NAT berasal dari kekeliruan antara keamanan dan translasi alamat
  • NAT (Network Address Translation) bukan fitur keamanan, melainkan mekanisme penghematan alamat untuk mengatasi kelangkaan alamat IPv4
  • Cara kerja NAT pada dasarnya hanya memungkinkan beberapa perangkat berbagi satu IP publik berdasarkan pemetaan port
  • Yang sebenarnya berperan memblokir lalu lintas dari luar bukan NAT, melainkan stateful firewall
  • Bahkan di lingkungan IPv6, firewall secara default memblokir lalu lintas yang tidak diizinkan, sehingga ketiadaan NAT tidak berarti keamanan menjadi lebih lemah

Kebingungan antara NAT dan keamanan

  • Klaim bahwa IPv4 lebih aman karena menggunakan NAT adalah pemahaman yang keliru
    • NAT bukan fitur keamanan, tetapi teknologi untuk penghematan alamat (address conservation)
    • NAT juga bisa digunakan di IPv6, tetapi hal itu tidak membuat keamanan menjadi lebih kuat
  • NAT memungkinkan beberapa perangkat di jaringan internal berbagi satu alamat IP publik
    • NAT melakukan routing dengan menulis ulang (rewrite) IP tujuan berdasarkan port tujuan paket
    • NAT bekerja sesuai aturan port mapping atau port forwarding yang diatur administrator jaringan

Cara kerja NAT yang sebenarnya

  • Dalam lingkungan NAT, lalu lintas masuk dari luar dengan port tujuan yang tidak terduga tidak akan diteruskan ke perangkat internal
    • Lalu lintas seperti ini akan berhenti di perangkat yang memiliki IP publik dan tidak dirutekan ke jaringan internal
  • Karena itu NAT tampak seolah memblokir akses dari luar, tetapi ini hanyalah efek samping dan bukan tujuan desain keamanannya

Peran firewall

  • Efek keamanan yang sering disalahpahami sebagai hasil dari NAT sebenarnya berasal dari stateful firewall
    • Sebagian besar router modern menyertakan kebijakan firewall yang secara default memblokir lalu lintas masuk, terlepas dari apakah NAT digunakan atau tidak
    • Firewall membuang (drop) lalu lintas tujuan yang tidak terduga sebelum menulis ulang paket atau melakukan routing
  • Sebagai contoh, aturan firewall IPv6 default pada router UniFi adalah sebagai berikut
    • Mengizinkan lalu lintas Established/Related (lalu lintas respons outbound)
    • Memblokir lalu lintas Invalid
    • Memblokir semua lalu lintas lainnya

Keamanan di lingkungan IPv6

  • Bahkan pada jaringan IPv6, aturan firewall default memblokir lalu lintas masuk yang tidak diizinkan
    • Tingkat perlindungan yang sama tetap berlaku meski tanpa NAT
  • Untuk mengizinkan lalu lintas yang tidak diminta dari luar ke perangkat IPv6, aturan firewall harus ditambahkan secara eksplisit
    • Hal ini berlaku sama, terlepas dari penggunaan NAT

Kesimpulan

  • Klaim bahwa keamanan IPv6 melemah hanya karena tidak menggunakan NAT tidak memiliki dasar
  • Keamanan yang sebenarnya ditentukan oleh kebijakan firewall dan aturan kontrol lalu lintas, bukan oleh NAT
  • Bahkan di lingkungan IPv6, strategi keamanan default-deny dapat dipertahankan melalui konfigurasi firewall yang tepat

Bacaan terkait

1 komentar

 
GN⁺ 2026-01-22
Opini Hacker News

  • Disarankan untuk melihat bagian 5 RFC 4787 sebelum ikut berdiskusi
    NAT bukan firewall, tetapi tetap memfilter trafik, sehingga memberikan tingkat fungsi keamanan tertentu
    Dalam praktiknya, NAT telah berkembang melampaui sekadar translasi alamat, dan meskipun IPv6 tidak menggunakan NAT, pemfilteran yang sama dapat diterapkan dengan firewall

    • RFC 4787 berbeda dari implementasi nyata. Sebagian besar router SOHO berbasis Linux, jadi lebih realistis membahas perilaku NAT berbasis netfilter
      Linux netfilter mengimplementasikan NAT dan firewall sekaligus; aturan DNAT/SNAT pada tabel nat berperan sebagai NAT, sedangkan aturan REJECT/DROP pada tabel filter berperan sebagai firewall
      Jika hanya aturan NAT yang diterapkan, trafik yang bukan bagian dari koneksi yang sudah ada pun akan tetap lewat
    • Bagian RFC 4787 tersebut menjelaskan koneksi outbound
      Isinya membahas proses NAT membuat tabel status saat membuat koneksi keluar, lalu mengizinkan paket inbound yang sesuai dengannya
      Artinya, “filtering” dalam dokumen ini tidak merujuk pada koneksi inbound tak diminta
    • Meski IPv6 tanpa NAT tidak berarti kurang aman, pengaturan bawaan (defaults) tetap penting
      IPv6 bisa sama amannya dengan IPv4, tetapi hasilnya bergantung pada konfigurasi
    • Dari 30 tahun pengalaman IT, lingkungan NAT mendorong desain yang malas
      Kebiasaan buruk dalam keamanan adalah ketika engineer sistem dan aplikasi tidak memahami masalah secara menyeluruh lalu bergantung pada NAT dan firewall perimeter
    • RFC tidak selalu menjadi acuan yang absolut
      Terutama ketika makin jauh dari implementasi nyata, keandalan RFC pun menurun

  • Di jaringan seluler AS, alamat IPv6 digunakan tanpa NAT
    Misalnya, T-Mobile men-tunnel IPv4 di atas IPv6 dengan 464XLAT
    Ini menunjukkan bahwa firewall berbasis status dapat dioperasikan dalam skala besar tanpa NAT

    • Di jaringan Elisa di Finlandia, koneksi TCP inbound IPv6 berfungsi dengan baik
      Sudah diuji dengan Termux dan netcat; IPv4 berada di balik CGNAT, tetapi IPv6 dapat terhubung langsung
    • Penasaran mengapa “smartphone tidak boleh berfungsi sebagai server”
    • Saya menganggap kemampuan untuk menyajikan data langsung dari perangkat pribadi sebagai hak yang wajar
      Jika kapasitas jaringan kurang, itu yang harus diperbaiki
      Jika IPv6 menjadi umum, orang akan menganggap komunikasi langsung sebagai hal yang normal
    • Saat memakai hotspot, penasaran apakah PC klien menerima alamat IPv6 yang sama
    • Perangkat mobile dibatasi oleh lingkungan sandbox

  • Sebagai network engineer, hal pertama yang dipelajari adalah hubungan antara NAT dan keamanan
    Alamat privat IPv4 (192.168.0.1) sulit diakses dari luar, tetapi alamat global IPv6 bisa mengekspos informasi perangkat
    IPv6 memiliki alternatif seperti Prefix Translation, yang memungkinkan sebagian keunggulan NAT tetap dipertahankan sambil tetap memberi akses yang transparan

    • Membandingkan alamat privat IPv4 dan alamat global IPv6 itu tidak adil
      Keduanya harus disejajarkan sebagai alamat internal atau eksternal agar perbandingannya adil
      Dalam lingkungan CGNAT, koneksi inbound tidak mungkin dilakukan, jadi pembatasan yang sama bisa diterapkan juga di IPv6
    • Meski alamat internal bocor, titik serangan yang sesungguhnya adalah firewall perbatasan internet
      Prefix bisa disembunyikan dengan NAT66, tetapi keuntungan keamanan nyatanya tidak besar
    • 192.168.0.1 terlalu mudah diakses (nada bercanda)
    • NAT66 adalah “kejahatan yang perlu”, tetapi dalam situasi tertentu bisa menjadi pilihan terbaik

  • Banyak hacker yang bingung membedakan NAT dan firewall
    NAT bukan untuk keamanan; keamanan disediakan oleh firewall

    • Memahami perbedaan NAT dan firewall, tetapi dalam kenyataan keduanya sering berjalan bersama
      NAT adalah namespacing, firewall adalah keamanan berbasis kebijakan
      Namespacing sendiri adalah properti keamanan yang kuat karena membuat penyerang bahkan “tidak tahu namanya” untuk suatu resource
      Firewall IPv6 bisa mengekspos sistem ke seluruh dunia hanya karena satu aturan yang salah
    • NAT memblokir akses dari luar, sehingga punya efek keamanan yang nyata
      Bahkan tanpa firewall, NAT saja bisa melindungi resource internal
      NAT mengurangi attack surface jaringan rumahan menjadi satu router
    • NAT memberi perilaku yang diinginkan sebagian besar pengguna sebagai default
      Sebaliknya, firewall bisa memiliki default yang berbeda, sehingga IPv6 malah terasa seperti kemunduran keamanan bagi pengguna umum
    • NAT konsumen pada praktiknya berperilaku sama dengan firewall default-deny
      Mengklaim bahwa UPnP merusak keamanan NAT sama saja seperti mengatakan PCP merusak firewall
    • Symmetric NAT atau CGNAT bukan firewall, tetapi dalam praktiknya menghasilkan efek yang mirip

  • Menanggapi klaim bahwa sifat default-deny NAT adalah keunggulan keamanan IPv4
    Aturan default-deny pada IPv6 memberi tingkat keamanan yang sama, jadi tidak ada perbedaan keamanan struktural

    • Konsep “keamanan inheren” tidak bermakna
      NAT IPv4 dan aturan default-deny IPv6 mempertahankan kondisi invarian yang sama
      Keduanya sama-sama bisa menjadi rentan jika salah konfigurasi

  • Ada pengalaman lengah karena merasa aman dengan NAT, lalu SBC diretas akibat firewall IPv6 tidak dikonfigurasi
    Penyebabnya adalah kesalahan konfigurasi IPv6, bukan NAT

    • Ruang alamat IPv6 sangat besar sehingga pemindaian penuh tidak mungkin; jadi penasaran bagaimana penyerang menemukan alamatnya
    • Itu adalah kesalahan yang cukup memalukan

  • NAT juga menimbulkan masalah keamanan
    Muncul serangan refleksi atau kesulitan pelacakan akibat pemisahan alamat-endpoint
    Di masa lalu, AOL pernah berbagi sedikit alamat egress sehingga sulit memblokir sebagian pengguna tertentu

    • Menurut RFC 1631, NAT secara eksplisit “mengurangi opsi untuk menyediakan keamanan”
      Namun seiring waktu, NAT malah dianggap seperti kepercayaan keamanan semu (cargo cult)

  • Efek NAT berbeda tergantung ISP dan konfigurasi router
    NAT bukan fitur keamanan yang disengaja, tetapi memberikan efek keamanan sampingan
    Di IPv6, jika setiap perangkat mendapat alamat langsung, maka diperlukan firewall default-deny

    • Sebagian besar router juga menerapkan default-deny pada IPv6, tetapi fitur auto port forwarding seperti UPnP dapat melemahkannya
      Tautan spesifikasi UPnP
    • Di IPv6 pun pemblokiran inbound bekerja sama seperti pada IPv4
    • Jika akses tetap tidak bisa dilakukan meski NAT dimatikan, penyebabnya mungkin bukan NAT itu sendiri melainkan konfigurasi routing
    • Kasus penggunaan NAT IPv6 jarang terjadi, dan melakukan NAT pada alamat fc00::/7 adalah kasus yang tidak umum
    • ISP yang hanya memberi satu alamat IPv6 adalah konfigurasi yang tidak normal. Minimal harus memberikan /56

  • Menanggapi ucapan bahwa orang yang menganggap NAT sebagai dasar keamanan berarti tidak paham jaringan

    • Ada yang menyebut itu “terlalu menggeneralisasi”; NAT memang tidak bisa menjadi keamanan, tetapi juga tidak sepenuhnya bisa diabaikan
    • Ia menyebut dirinya pakar IPv6 dan mengatakan telah mengoperasikan IPv6 sejak 2008
      Ia membagikan kasus saat masalah akumulasi alamat privasi menyebabkan server SIP gagal
      Diskusi terkait masih relevan di thread Reddit VOIP

  • Menanggapi klaim bahwa NAT tidak menjatuhkan trafik inbound
    NAT hanya melakukan translasi alamat dan tidak menjatuhkan paket

    • Namun bergantung pada konfigurasi router, trafik yang masuk dari interface egress sering kali diblokir secara eksplisit
    • Walaupun NAT tidak menjatuhkan paket, jika IP tujuan adalah router itu sendiri, pada akhirnya paket tersebut tidak akan dirutekan
      Disebutkan bahwa tulisannya telah direvisi untuk mencerminkan umpan balik ini