IPv4 VPN qaydanız IPv6 trafiki barədə heç nə demir

Audit eyni interfeysdə tunelin IPv4 üçün sıx filtrdən keçdiyini, IPv6 üçün isə tam açıq olduğunu aşkarlayır. Səhv yazı mənasında heç nə səhv konfiqurasiya edilməmişdi; qayda dəsti sadəcə bir ailəni təsvir edirdi və hamı digərinin də ona tabe olduğunu güman edirdi. Bu nadir hallarda olur. Qaydanızın həqiqətən hər ikisini əhatə edib-etmədiyini üç şərt həll edir və birincisi siyasətdən deyil, platformadan irəli gəlir.

Birinci şərt: platformada bir cədvəl, yoxsa iki cədvəl var

Bəzi paket filtrləri IPv4 və IPv6-nı tamamilə ayrı qayda dəstlərində saxlayır, buna görə birinə əlavə olunan qayda biri onu kopyalayana qədər digərinə təsir etmir. Digərləri hər ikisinə uyğun gələn və ünvanları hər paket üzrə çevirən ailə təqdim edir. Üçüncü qrup isə bir siyasət dili saxlayır, lakin arxada hər ailə üçün ayrı obyektlər saxlayır.

Həqiqətən işlətdiyiniz filtrin sənədlərini oxuyun, sonra hansı cədvəllərin mövcud olduğunu və dəyişikliyin hansına toxunduğunu siyahıya alın. IPv4 cədvəlindəki qaydaları saymaq heç kimin vermədiyi suala cavab verir. Sonra hansı cədvəllərin mövcud olduğunu və dəyişikliyin hansına toxunduğunu siyahıya alın.

İkinci şərt: siyasət harada tətbiq olunur

Üç yer bir-biri ilə qarışdırılır: tuneli qəbul edən dinləyici, trafiki irəli ötürən yol və tunel axın daşımadıqda müştərinin istifadə etdiyi adi interfeys. Şlüz sessiyanı qəbul edə, amma ondan irəli ötürülən hər şeyi ata bilər və bu filtrdən çox pozulmuş tunel kimi görünür. Hər hansı bir şey yazmazdan əvvəl bu qarışıqlığı aradan qaldırın, çünki üç yerin sahibləri və qeydləri fərqlidir. Onları dəyişiklik qeydində adlandırmaq düzəlişin nasazlıqdan bir qat uzağa düşməsinin qarşısını alır.

Qaydanızın üç yerdən hansını idarə etmək üçün nəzərdə tutulduğunu yazın. Dinləyicini qoruyan qayda irəli ötürülən yolu qorumur və heç biri müştərinin birbaşa marşrutunu bağlamır. Hər yerin kimə aid olduğunu qeyd edin, çünki cavab əksər təşkilatlarda başqa komandadır.

Üçüncü şərt: IPv6 nə etməlidir

IPv6-nın tuneldən keçib-keçməyəcəyinə qərar verin, müdafiə mövcud olmadıqda bloklanacaqmı, yoxsa sənədləşdirilmiş istisnaya tabe olacaq. Hər cavab fərqli qayda dəsti yaradır və sualı açıq qoymaq, doğma IPv6-ya sahib müştərinin IPv4 üzərindən tunelin içində çatdığı təyinat nöqtələrinə tuneldən kənarda çatmasına gətirib çıxarır.

Qaydaları yazmazdan əvvəl cavabı ucadan deyin. Bloklama IPv6 daşımayan tunel üçün qanuni seçimdir, təki bu, boş cədvəlin təsadüfi nəticəsi deyil, qəsdən və sınaqdan keçirilmiş olsun. Sənədləşdirilməyən hər şey qaydalara sonradan toxunan, adətən də tələsik olan biri tərəfindən yenidən həll ediləcək.

ICMPv6 nəzarət trafikidir

Qonşuluq kəşfi və yol geribildirimi ICMPv6 üzərində gedir, buna görə IPv4 vərdişindən kopyalanmış ehtiyatsız atma ünvanlamanı və böyük ötürmələri eyni vaxtda sındırır. Ehtiyatsız icazə də cavab deyil, çünki heç kimin izləmədiyi kanalı təhvil verir.

Vacib mesaj növləri üçün filtrasiya təlimatına əməl edin və qalanını səbəb göstərməklə rədd edin. Ən çox səhv diaqnoz qoyulan nasazlıq itkin Packet Too Big mesajıdır və bu, açılıb sonra dayanan bağlantı kimi görünür.

Bunu sübut etmək, hər dəfə bir ailə

Hər ailə üzrə ayrıca səlahiyyətli sorğu sınaqdan keçirin, sonra siyasət sessiyadan sonra da qalmalıdırsa, yenidən qoşulmadan sonra təkrarlayın. Yalnız IPv4 şəbəkəsində sınaq IPv6 marşrutunu işə sala bilməz, buna görə keçid bağlamağa çalışdığınız sızma barədə heç nə demir. Sınaq gedərkən sayğacları izləyin, çünki heç vaxt uyğun gəlməyən qayda şərhinin iddia etdiyini etmir.

Hər cəhddə bir məhdud qayda dəyişin və əvvəlki konfiqurasiyanı əlçatan saxlayın. Siyasət idarə olunan profilə məxsusdursa, yerli düzəliş etməzdən əvvəl onun administratorunu cəlb edin, çünki növbəti yoxlama yerli düzəlişin üzərinə yazıb sızmanı bərpa edəcək.