4. Betrieb

4.1. Eingangsfilterung

Es ist zu erwarten, dass es einige Zeit dauern wird, bis alle IPv6-Knoten aktualisiert sind, um die Unterstützung für RH0 zu entfernen. Einige der in [CanSecWest07] beschriebenen Verwendungen von RH0 können durch Eingangsfilterung abgeschwächt werden, wie in [RFC2827] und [RFC3704] empfohlen.

Eine Sicherheitsrichtlinie für einen Standort, die vor Angriffen mit RH0 schützen soll, SOLLTE die Umsetzung einer Eingangsfilterung am Standortübergang umfassen.

4.2. Firewall-Richtlinie

Das Blockieren aller IPv6-Pakete mit Routing Headers, statt gezielt Type 0 zu blockieren und andere Typen zuzulassen, hat sehr ernste Folgen für die zukünftige Entwicklung von IPv6. Wenn bereits ein kleiner Prozentsatz eingesetzter Firewalls andere Typen von Routing Headers standardmäßig blockiert, wird es in der Praxis unmöglich, IPv6 Routing Headers zu erweitern. Beispielsweise beruht Mobile IPv6 [RFC3775] auf einem Routing Header vom Type 2; ein großflächiges, unterschiedsloses Blockieren von Routing Headers würde den Einsatz von Mobile IPv6 unmöglich machen.

Eine Firewall-Richtlinie zum Schutz vor Paketen mit RH0 DARF NICHT einfach sämtlichen Verkehr mit einem Routing Header filtern; es MUSS möglich sein, die Weiterleitung von Type-0-Verkehr zu deaktivieren, ohne andere Typen von Routing Headers zu blockieren. Darüber hinaus MUSS die Standardkonfiguration die Weiterleitung von Verkehr mit einem Routing Header ungleich 0 erlauben.