قاعدة VPN الخاصة بك على IPv4 لا تقول شيئًا عن حركة IPv6

يكشف التدقيق أن النفق مُرشَّح بإحكام لـ IPv4 ومفتوح على مصراعيه لـ IPv6 على الواجهة نفسها. لم يكن هناك خطأ في الإعداد بالمعنى الحرفي؛ فمجموعة القواعد وصفت عائلة واحدة وافترض الجميع أن الأخرى تتبعها. وهذا نادرًا ما يحدث. تحدد ثلاثة شروط ما إذا كانت قاعدتك تغطي فعليًا العائلتين، وأولها يتعلق بالمنصة لا بالسياسة.

الشرط الأول: هل لدى المنصة جدول واحد أم جدولان

تحتفظ بعض مرشِّحات الحزم بـ IPv4 و IPv6 في مجموعتي قواعد منفصلتين تمامًا، لذا لا تؤثر قاعدة تُضاف إلى إحداهما في الأخرى حتى ينسخها أحدهم. ويقدّم غيرها عائلة تطابق الاثنين وتترجم العناوين لكل حزمة. أما مجموعة ثالثة فتحتفظ بلغة سياسة واحدة لكنها تخزّن كائنات منفصلة لكل عائلة خلفها.

اقرأ وثائق المرشِّح الذي تشغّله فعلًا، ثم اسرد الجداول الموجودة وأيها لمستها تغييراتك. عدّ القواعد في جدول IPv4 يجيب عن سؤال لم يطرحه أحد. ثم اسرد الجداول الموجودة وأيها لمستها تغييراتك.

الشرط الثاني: أين تُطبَّق السياسة

تُخلط ثلاثة مواضع ببعضها: المستمع الذي يقبل النفق، والمسار الذي يمرّر الحركة إلى الأمام، والواجهة العادية التي يستخدمها العميل عندما لا يحمل النفق تدفقًا. يمكن لبوابة أن تقبل جلسة بينما تُسقط كل ما يُمرَّر منها، ويبدو ذلك كنفق معطّل لا كمرشِّح. أزل هذا الالتباس قبل كتابة أي شيء، لأن المواضع الثلاثة لها مالكون وسجلات مختلفة. وذكرها في سجل التغيير هو ما يمنع أن يقع الإصلاح على طبقة بعيدة عن العطل.

اكتب أي المواضع الثلاثة يقصد إليه قاعدتك. القاعدة التي تحمي المستمع لا تحمي المسار المُمرَّر، ولا واحدة منهما تغلق المسار المباشر للعميل. لاحظ من يملك كل موضع، لأن الجواب فريق مختلف في معظم المؤسسات.

الشرط الثالث: ماذا ينبغي أن يفعل IPv6

قرر ما إذا كان IPv6 يمر عبر النفق، أو يُحظر بينما الحماية غير متاحة، أو يتبع استثناءً موثقًا. كل جواب ينتج مجموعة قواعد مختلفة، وترك السؤال مفتوحًا هو كيف ينتهي عميل يملك IPv6 أصلية إلى الوصول إلى وجهات خارج النفق يصل إليها داخله عبر IPv4.

قل الجواب بصوت عالٍ قبل كتابة القواعد. الحظر خيار مشروع لنفق لا يحمل IPv6، ما دام مقصودًا ومختبَرًا لا نتيجة عرَضية لجدول فارغ. وأي شيء غير موثّق سيعيد تقريره من يلمس القواعد لاحقًا، وعادة على عجل.

ICMPv6 حركة تحكم

يدور اكتشاف الجوار وتغذية المسار راجعةً على ICMPv6، لذا فإن الإسقاط الشامل المنسوخ من عادة IPv4 يكسر العنونة والنقل الكبير في الوقت نفسه. والسماح الشامل ليس الجواب أيضًا، لأنه يسلّم قناة لا يراقبها أحد.

اتبع إرشادات الترشيح لأنواع الرسائل المهمة وارفض الباقي مع بيان السبب. والخطأ الأكثر سوء تشخيص هو رسالة Packet Too Big المفقودة، التي تظهر كاتصال يُفتح ثم يتعطل.

إثبات ذلك، عائلة واحدة في كل مرة

اختبر طلبًا مصرحًا عبر كل عائلة على حدة، ثم أعد الاختبار بعد إعادة الاتصال إن كان من المفترض أن تصمد السياسة خلال الجلسة. لا يمكن لاختبار على شبكة IPv4 فقط أن يمارس مسار IPv6، لذا لا يقول النجاح شيئًا عن التسرب الذي تحاول إغلاقه. راقب العدادات أثناء الاختبار، لأن قاعدة لا تطابق أبدًا لا تفعل ما يزعمه تعليقها.

غيّر قاعدة واحدة محددة النطاق في كل محاولة واحتفظ بالإعداد السابق في متناول يدك. وحيث يملك ملف تعريف مُدار السياسة، أشرك مسؤوله قبل التعديل محليًا، لأن الفحص التالي سيكتب فوق إصلاح محلي ويعيد التسرب.