Правилото ви за VPN за IPv4 не казва нищо за трафика по IPv6

Одит установява, че тунелът е филтриран строго за IPv4 и широко отворен за IPv6 на същия интерфейс. Нищо не е било конфигурирано грешно в смисъл на печатна грешка; наборът от правила просто описваше една фамилия и всички предполагаха, че другата го следва. Това рядко се случва. Три условия решават дали правилото ви наистина покрива и двете, като първото е за платформата, а не за политиката.

Условие първо: платформата има една таблица или две

Някои филтри на пакети държат IPv4 и IPv6 в напълно отделни набори от правила, така че правило, добавено към единия, не влияе на другия, докато някой не го дублира. Други предлагат фамилия, която съвпада с двете и превежда адресите за всеки пакет. Трета група държи един език за политики, но съхранява отделни обекти за всяка фамилия зад него.

Прочетете документацията за филтъра, който действително използвате, после изброете кои таблици съществуват и коя е засегнала промяната ви. Броенето на правилата в таблицата за IPv4 отговаря на въпрос, който никой не е задал. После изброете кои таблици съществуват и коя е засегнала промяната ви.

Условие второ: къде се прилага политиката

Три места се бъркат едно с друго: слушателят, който приема тунела, пътят, който препраща трафика нататък, и обикновеният интерфейс, който клиентът използва, когато тунелът не носи поток. Шлюз може да приеме сесия, докато изхвърля всичко, препратено от нея, и това изглежда като счупен тунел, а не като филтър. Премахнете това объркване, преди да напишете нещо, защото трите места имат различни собственици и различни журнали. Назоваването им в записа за промяната е това, което пречи поправката да попадне на едно ниво по-далеч от повредата.

Запишете кое от трите места трябва да управлява правилото ви. Правило, което защитава слушателя, не защитава препращащия път и нито едно от двете не затваря директния маршрут на клиента. Отбележете кой притежава всяко място, защото отговорът в повечето организации е различен екип.

Условие трето: какво трябва да прави IPv6

Решете дали IPv6 минава през тунела, блокира се, докато защитата е недостъпна, или следва документирано изключение. Всеки отговор дава различен набор от правила и оставянето на въпроса отворен е начинът, по който клиент със собствен IPv6 стига до дестинации извън тунела, до които стига вътре в него по IPv4.

Кажете отговора на глас, преди да пишете правила. Блокирането е законен избор за тунел, който не носи IPv6, стига да е умишлено и тествано, а не случайният резултат от празна таблица. Всичко недокументирано ще бъде решено отново от този, който следва да пипне правилата, и обикновено набързо.

ICMPv6 е управляващ трафик

Откриването на съседи и обратната връзка за пътя разчитат на ICMPv6, така че цялостно изхвърляне, копирано от навик за IPv4, чупи адресирането и големите преноси едновременно. Цялостното разрешаване също не е отговорът, защото предава канал, който никой не наблюдава.

Следвайте указанията за филтриране за важните типове съобщения и отхвърляйте останалите с причина. Повредата, която най-често се диагностицира погрешно, е липсващото съобщение Packet Too Big, което изглежда като връзка, която се отваря и после зацикля.

Доказване, една фамилия наведнъж

Тествайте разрешена заявка по всяка фамилия поотделно, после повторете след повторно свързване, ако политиката трябва да преживее сесията. Тест в мрежа само с IPv4 не може да упражни маршрут по IPv6, така че успехът не казва нищо за изтичането, което се опитвате да затворите. Наблюдавайте броячите по време на теста, защото правило, което никога не съвпада, не прави това, което твърди коментарът му.

Променяйте едно ограничено правило на опит и дръжте предишната конфигурация под ръка. Когато политиката се притежава от управляван профил, включете неговия администратор, преди да редактирате локално, защото следващата проверка ще презапише локалната поправка и ще възстанови изтичането.