Vaše pravidlo VPN pro IPv4 nic neříká o provozu IPv6

Audit zjistí, že tunel je na stejném rozhraní pro IPv4 filtrován těsně a pro IPv6 zcela otevřený. Nic nebylo špatně nakonfigurováno ve smyslu překlepu; sada pravidel prostě popisovala jednu rodinu a všichni předpokládali, že druhá ji následuje. Málokdy tomu tak je. Tři podmínky rozhodují, zda vaše pravidlo skutečně pokrývá obě, a první z nich se týká platformy, nikoli zásady.

Podmínka první: má platforma jednu tabulku, nebo dvě

Některé paketové filtry drží IPv4 a IPv6 ve zcela oddělených sadách pravidel, takže pravidlo přidané do jedné nemá na druhou vliv, dokud jej někdo nezduplikuje. Jiné nabízejí rodinu, která odpovídá oběma a překládá adresy pro každý paket. Třetí skupina drží jeden jazyk zásad, ale za ním ukládá samostatné objekty pro každou rodinu.

Přečtěte si dokumentaci k filtru, který skutečně provozujete, a pak vypište, které tabulky existují a které se vaše změna dotkla. Počítání pravidel v tabulce IPv4 odpovídá na otázku, kterou nikdo nepoložil. Poté vypište, které tabulky existují a které se vaše změna dotkla.

Podmínka druhá: kde se zásada uplatňuje

Tři místa se pletou jedno s druhým: listener, který přijímá tunel, cesta, která předává provoz dál, a běžné rozhraní, které klient používá, když tunel nenese tok. Brána může přijmout relaci, a přitom zahazovat vše, co se z ní předává, a to vypadá jako rozbitý tunel, nikoli jako filtr. Odstraňte to zmatení, než cokoli napíšete, protože tři místa mají různé vlastníky a různé logy. Pojmenovat je v záznamu o změně je to, co zabrání tomu, aby oprava skončila o vrstvu dál od poruchy.

Zapište, kterému ze tří míst má vaše pravidlo vládnout. Pravidlo, které chrání listener, nechrání předávanou cestu a ani jedno neuzavírá přímou trasu klienta. Všimněte si, kdo každé místo vlastní, protože odpovědí je ve většině organizací jiný tým.

Podmínka třetí: co má IPv6 dělat

Rozhodněte, zda IPv6 prochází tunelem, je blokováno, dokud není ochrana dostupná, nebo se řídí zdokumentovanou výjimkou. Každá odpověď dává jinou sadu pravidel a ponechání otázky otevřené je způsob, jakým klient s nativním IPv6 dosáhne cílů mimo tunel, kterých dosahuje uvnitř něj přes IPv4.

Řekněte odpověď nahlas, než začnete psát pravidla. Blokování je legitimní volba pro tunel, který nenese IPv6, pokud je záměrné a otestované, a ne náhodným výsledkem prázdné tabulky. Vše, co není zdokumentováno, znovu rozhodne ten, kdo se příště pravidel dotkne, a obvykle ve spěchu.

ICMPv6 je řídicí provoz

Objevování sousedů i zpětná vazba cesty jedou po ICMPv6, takže plošné zahazování opsané ze zvyku u IPv4 rozbíjí adresování a velké přenosy zároveň. Plošné povolení také není odpovědí, protože předává kanál, který nikdo nesleduje.

Dodržujte pokyny k filtrování pro důležité typy zpráv a ostatní odmítněte s odůvodněním. Porucha, která se nejčastěji chybně diagnostikuje, je chybějící zpráva Packet Too Big, jež se projeví jako spojení, které se otevře a pak se zasekne.

Dokázat to, jedna rodina po druhé

Otestujte autorizovaný požadavek přes každou rodinu zvlášť, poté to zopakujte po opětovném připojení, pokud má zásada přežít relaci. Test v síti pouze s IPv4 nemůže procvičit trasu IPv6, takže úspěch nic neříká o úniku, který se snažíte uzavřít. Sledujte počítadla během testu, protože pravidlo, které nikdy neodpovídá, nedělá to, co tvrdí jeho komentář.

Měňte jedno ohraničené pravidlo na pokus a mějte předchozí konfiguraci po ruce. Kde zásadu vlastní spravovaný profil, zapojte jeho správce, než budete editovat lokálně, protože příští kontrola přepíše lokální opravu a únik vrátí.