IPv6 — это не «технология будущего». Это бесконечный шланг, из которого вам в сайт льётся каловая пыль. Потому что IPv6 дешёвый, адресов там как грязи, подсетей можно набрать почти даром — и этим пользуются не люди с добрыми лицами, а те, у кого лица красные хоть прикуривай и интересы примерно как у клеща в лесу.
Логика у них простая: если IP бесконечный — блокировки превращаются в химически чистый позор. Заблокировал диапазон? Молодец. Они через минуту пришли с другого. И так до момента, когда ты сидишь, смотришь на логи в драматическом отсвете монитора и понимаешь: «день прошел, число сменилось, нихуя не изменилось».
Кто это вообще такой
Есть отдельный сорт — IPv6-only боты. То есть у них вообще нет IPv4. Ноль. Пусто. Они родились в IPv6, живут там и гадят там.
Что они делают (любимая программа вечера):
- брутфорс админок и всего, где есть логин;
- поиск уязвимостей и дырявых мест;
- парсинг контента «на всякий случай»;
- спам через IPv6-прокси;
- и всякая министерская работа уровня Министерство фрикций: нагул поведенческих, накрутки и прочие ностальгические поллюции по эпохе «а давайте схитрим».
И вот ключевое: блокировать IPv6 по IP — это изготовление гвоздей из ртути. Технически звучит, практической ценности почти ноль. Адресов бесконечность — ты их не вычистишь. Это как «шептать в жопу» океану: шума много, эффекта ноль.
Что делаю я (и почему это работает)
Я вырубаю IPv6 на уровне DNS.
Если у клиента нет вонючих 10 баксов в месяц на антибот скрипт:
- Не «ставлю ещё один WAF, потому что вдруг».
- Не устраиваю чиновников племенных пород из инфобиза, которые ходят с озабоченными до пояса лицами и говорят: «надо комплексно».
Я просто делаю одно действие:
удаляю AAAA-запись в DNS.
И дальше случается магия, которую почему-то многие игнорируют:
- нормальные люди и нормальные боты имеют IPv4 и начинают ходить по IPv4;
- IPv6-only боты дохнут на месте, потому что им некуда.
То есть ты не «борешься» с бесконечностью. Ты перекрываешь входную дверь, в которую лезёт конкретная мерзота.
Важное: что НЕ надо делать
Если хочется себе удар в псину — можно пойти «блокировать IPv6 фаерволом».
Потому что дальше начинается цирк:
- какие-то диапазоны режешь;
- какие-то «случайно» оставляешь;
- какие-то потом ломают доступ непонятно кому;
- логика расползается, а мусор всё равно пролезает.
Правильная техничка простая:
Делать:
- удалить AAAA в DNS.
Не делать:
- «резать IPv6» на уровне фаервола, надеясь победить бесконечность;
- считать антибот-скрипты панацеей;
- тратить время на героизм вместо результата.
Итог (для тех, кто любит коротко)
Если по логам видно, что мусор идёт по IPv6 — отключайте IPv6 в DNS.
Это часто даёт самый дешёвый выигрыш: нагрузка падает, ботохлам исчезает, нормальный трафик не страдает.
На большинстве хостингов «отключить IPv6» = удалить AAAA-запись. Всё.
А дальше уже можно заниматься тонкой настройкой защиты. Но сначала — прекратить изображать из себя нетакусика, который «я справлюсь фаерволом». Не справишься. IPv6 бесконечный. Ты — нет.
