Правіла VPN для IPv4 нічога не кажа пра трафік IPv6

Аўдыт выяўляе, што тунель шчыльна фільтруецца для IPv4 і цалкам адкрыты для IPv6 на тым жа інтэрфейсе. Нішто не было няправільна наладжана ў сэнсе друкавой памылкі; набор правілаў проста апісваў адну сям'ю, і ўсе меркавалі, што другая ідзе за ёй. Гэта рэдка бывае. Тры ўмовы вызначаюць, ці сапраўды ваша правіла ахоплівае абедзве, і першая тычыцца платформы, а не палітыкі.

Умова першая: у платформы адна табліца ці дзве

Некаторыя фільтры пакетаў трымаюць IPv4 і IPv6 у цалкам асобных наборах правілаў, таму правіла, дададзенае ў адзін, не дзейнічае на другі, пакуль хтосьці не скапіруе яго. Іншыя прапануюць сям'ю, якая адпавядае абедзвюм, і перакладаюць адрасы для кожнага пакета. Трэцяя група трымае адну мову палітыкі, але за ёй захоўвае асобныя аб'екты для кожнай сям'і.

Прачытайце дакументацыю да фільтра, які вы сапраўды выкарыстоўваеце, затым пералічыце, якія табліцы існуюць і якую закранула ваша змена. Падлік правілаў у табліцы IPv4 адказвае на пытанне, якога ніхто не задаваў. Затым пералічыце, якія табліцы існуюць і якую закранула ваша змена.

Умова другая: дзе прымяняецца палітыка

Тры месцы блытаюць адно з адным: слухач, які прымае тунель, шлях, які перасылае трафік далей, і звычайны інтэрфейс, які кліент выкарыстоўвае, калі тунель не нясе патоку. Шлюз можа прыняць сеанс, але адкідваць усё, што перасылаецца з яго, і гэта выглядае як зламаны тунель, а не фільтр. Прыбярыце гэтую блытаніну, перш чым нешта пісаць, бо ў трох месцаў розныя ўладальнікі і розныя журналы. Назваць іх у запісе пра змену — гэта тое, што не дае выпраўленню апынуцца на пласт далей ад непаладкі.

Запішыце, якое з трох месцаў павінна кіраваць ваша правіла. Правіла, якое абараняе слухача, не абараняе шлях перасылкі, і ні адно з іх не закрывае прамы маршрут кліента. Адзначце, каму належыць кожнае месца, бо адказ у большасці арганізацый — іншая каманда.

Умова трэцяя: што павінна рабіць IPv6

Вырашыце, ці IPv6 ідзе праз тунель, блакуецца, пакуль абарона недаступная, ці ідзе па дакументаваным выключэнні. Кожны адказ дае розны набор правілаў, і пакінутае адкрытым пытанне — гэта тое, як кліент з уласным IPv6 дабіраецца да пунктаў прызначэння па-за тунелем, да якіх ён дабіраецца ўнутры яго праз IPv4.

Прагаварыце адказ уголас, перш чым пісаць правілы. Блакаванне — законны выбар для тунеля, які не нясе IPv6, калі гэта наўмысна і пратэставана, а не выпадковы вынік пустой табліцы. Усё незадакументаванае будзе перарашана тым, хто наступным дакранецца да правілаў, і звычайна спяшаючыся.

ICMPv6 — гэта кіруючы трафік

Выяўленне суседзяў і зваротная сувязь шляху абапіраюцца на ICMPv6, таму суцэльнае скідванне, скапіяванае з прывычкі IPv4, ламае адрасацыю і вялікія перадачы адначасова. Суцэльны дазвол таксама не адказ, бо ён перадае канал, за якім ніхто не сочыць.

Дотрымлівайцеся рэкамендацый па фільтрацыі для важных тыпаў паведамленняў і адхіляйце астатнія з прычынай. Памылка, якую часцей за ўсё не так дыягнастуюць, — гэта адсутнае паведамленне Packet Too Big, якое выглядае як злучэнне, што адкрываецца і потым затыкаецца.

Даказаць гэта, па адной сям'і за раз

Праверце дазволены запыт па кожнай сям'і асобна, затым паўтарыце пасля перападключэння, калі палітыка павінна перажыць сеанс. Тэст у сетцы толькі з IPv4 не можа прайсці маршрут IPv6, таму поспех нічога не кажа пра ўцечку, якую вы спрабуеце закрыць. Назірайце за лічыльнікамі падчас тэсту, бо правіла, якое ніколі не супадае, не робіць таго, што сцвярджае яго каментар.

Змяняйце адно абмежаванае правіла за спробу і трымайце папярэднюю канфігурацыю пад рукой. Там, дзе палітыкай валодае кіруемы профіль, прыцягніце яго адміністратара перад лакальным рэдагаваннем, бо наступная праверка перазапіша лакальнае выпраўленне і верне ўцечку.