Vaše IPv4 VPN pravilo ne govori ništa o IPv6 saobraćaju

Revizija otkriva da je tunel čvrsto filtriran za IPv4 i širom otvoren za IPv6 na istom interfejsu. Ništa nije bilo pogrešno konfigurisano u smislu greške u kucanju; skup pravila je jednostavno opisivao jednu porodicu i svi su pretpostavili da druga slijedi. To rijetko čini. Tri uslova odlučuju pokriva li vaše pravilo zaista obje, a prvi se tiče platforme, a ne politike.

Uslov prvi: ima li platforma jednu tabelu ili dvije

Neki filtri paketa drže IPv4 i IPv6 u potpuno odvojenim skupovima pravila, pa pravilo dodano jednom nema efekta na drugi dok ga neko ne duplira. Drugi nude porodicu koja odgovara objema i prevodi adrese po paketu. Treća grupa drži jedan jezik politike, ali iza njega čuva odvojene objekte po porodici.

Pročitajte dokumentaciju za filter koji zaista pokrećete, zatim popišite koje tabele postoje i koju je vaša promjena dotakla. Brojanje pravila u IPv4 tabeli odgovara na pitanje koje niko nije postavio. Zatim popišite koje tabele postoje i koju je vaša promjena dotakla.

Uslov drugi: gdje se politika primjenjuje

Tri mjesta se miješaju jedno s drugim: slušalac koji prihvata tunel, put koji prosljeđuje saobraćaj dalje i obični interfejs koji klijent koristi kada tunel ne nosi tok. Gejtvej može prihvatiti sesiju a odbacivati sve što se iz nje prosljeđuje, i to izgleda kao pokvaren tunel, a ne filter. Uklonite tu zabunu prije nego što bilo šta napišete, jer tri mjesta imaju različite vlasnike i različite dnevnike. Imenovanje u zapisu o promjeni je ono što sprječava da popravka sleti jedan sloj dalje od kvara.

Zapišite koje od tri mjesta vaše pravilo treba da upravlja. Pravilo koje štiti slušalac ne štiti proslijeđeni put, a nijedno ne zatvara direktnu rutu klijenta. Zabilježite ko posjeduje svako mjesto, jer je odgovor u većini organizacija drugi tim.

Uslov treći: šta IPv6 treba da radi

Odlučite da li IPv6 putuje kroz tunel, biva blokiran dok zaštita nije dostupna, ili slijedi dokumentovan izuzetak. Svaki odgovor daje drugačiji skup pravila, a ostavljanje pitanja otvorenim je način na koji klijent sa izvornim IPv6 stiže do odredišta izvan tunela koja dostiže unutar njega preko IPv4.

Izgovorite odgovor naglas prije pisanja pravila. Blokiranje je legitiman izbor za tunel koji ne nosi IPv6, sve dok je namjerno i testirano, a ne slučajni rezultat prazne tabele. Sve nedokumentovano će iznova odlučiti onaj ko sljedeći dotakne pravila, i to obično u žurbi.

ICMPv6 je kontrolni saobraćaj

Otkriće susjeda i povratna informacija o putu oboje se voze na ICMPv6, pa sveobuhvatno odbacivanje prepisano iz IPv4 navike kvari adresiranje i velike transfere istovremeno. Sveobuhvatno dopuštanje takođe nije odgovor, jer predaje kanal koji niko ne gleda.

Slijedite upute za filtriranje za važne tipove poruka i odbijte ostale uz razlog. Kvar koji se najčešće pogrešno dijagnostikuje je nedostajuća poruka Packet Too Big, koja se pojavljuje kao veza koja se otvori i zatim zapne.

Dokazivanje, jedna porodica po put

Testirajte autorizovani zahtjev preko svake porodice odvojeno, zatim ponovite nakon ponovnog povezivanja ako politika treba da preživi sesiju. Test na mreži samo s IPv4 ne može izvesti IPv6 rutu, pa uspjeh ne govori ništa o curenju koje pokušavate zatvoriti. Gledajte brojače dok test traje, jer pravilo koje nikada ne odgovara ne radi ono što njegov komentar tvrdi.

Mijenjajte jedno ograničeno pravilo po pokušaju i držite prethodnu konfiguraciju pri ruci. Gdje politiku posjeduje upravljani profil, uključite njegovog administratora prije lokalnog uređivanja, jer će sljedeća provjera pregaziti lokalnu popravku i vratiti curenje.