Mae’r switsh diffodd yn blocio IPv4 yn unig: pam mae IPv6 yn dal i ddianc

Mae’r twnnel yn disgyn, mae’r switsh diffodd yn nodi ei fod wedi ymgysylltu, ac mae lawrlwythiad yn parhau i redeg. Nid oes dim wedi torri yn y rheolau IPv4. Symudodd yr ap yn syml i lwybr na chafodd y rheolau hynny eu hysgrifennu ar ei gyfer erioed.

Mae gan ddyfeisiau dwy-bentwr ddwy ffordd annibynnol allan. Mae bloc ar un ohonynt yn hanner bloc.

Dwy set o reolau, dau osodiad diofyn

Ar Linux, mae iptables ac ip6tables yn dablau ar wahân gyda pholikau ar wahân. Mae gosod cadwyni INPUT ac OUTPUT y tabl IPv4 i DROP yn newid dim yn y tabl IPv6, lle mae’r gosodiad diofyn fel arfer yn ACCEPT. Mae’r un rhaniad yn bodoli yn nftables, lle gallwch archwilio un teulu a chanfod mai dim ond un ohonynt sy’n cario eich rheolau. Mae’r anghymesuredd hwnnw’n normal, a dyna’r broblem gyfan.

Dyma pam y gall switsh diffodd edrych yn drylwyr a gweithredu’n rhannol. Mae’r sgript a ysgrifennodd y rheolau IPv4 wedi rhedeg, mae’r cyfrifwyr yn cynyddu, mae’r llinell log yn ymddangos, ac mae pecyn IPv6 yn gadael trwy’r rhyngwyneb corfforol heb ei gyffwrdd o gwbl.

Darllenwch beth mae eich cleient yn ei osod mewn gwirionedd yn hytrach na’r hyn y mae’r dudalen farchnata yn ei addo. Mae rhai cleientiaid yn llwybro IPv6 i’r twnnel, mae rhai yn ei flocio’n fwriadol, ac mae rhai yn ei adael yn llonydd tra bod cloi ar lefel platfform yn gorfodi rheol wahanol. Dogfennaeth y gwerthwr yw’r unig ffynhonnell sy’n werth ymddiried ynddi yma.

Beth mae cyfluniad y rhyngwyneb yn ei ddweud wrthych

Mae tudalen lawlyfr wg-quick yn cynnwys rheolau IPv6 yn ei gyfluniad enghreifftiol, a’r rheswm yw’r bwlch hwn yn union. Nid addurn yw’r enghraifft. Mae’n bodoli oherwydd y byddai’r rheolau IPv4 yn unig yn gadael yr ail deulu’n agored.

Mae copïo hanner enghraifft yn cynhyrchu hanner polisi. Dyma darddiad mwyaf cyffredin y gollyngiad hwn. Golygodd post blog yr enghraifft ar gyfer hyd. Yna daeth y fersiwn wedi’i thocio yn dempled y gwnaeth pawb ei ailddefnyddio.

# what is actually installed, per family?
sudo iptables -S OUTPUT | head -20
sudo ip6tables -S OUTPUT | head -20

# nftables: inspect each family separately
sudo nft list ruleset inet | head -40

# does this host even have a usable IPv6 path?
ip -6 route show default

Os yw’r ail orchymyn yn argraffu polisi caniatäol tra bod y cyntaf yn argraffu DROP, rydych wedi dod o hyd i’r ateb heb gyffwrdd â’r cleient. Yr anghymesuredd hwnnw yw’r nam.

Pam nad yw un chwiliad yn dweud y stori gyfan

Gall un enw ddychwelyd cofnod A a chofnod AAAA, ac nid yw pob ap yn dewis yr un ffordd. Gall porwr ffafrio IPv6 pan fydd y rhwydwaith yn ei gynnig ac ailgodi ar fethiant, tra bod cysoni yn y cefndir neu ddiweddariad yn defnyddio ei ddatryswr a’i ffafriaeth ei hun. Felly mae un prawf llwyddiannus dros IPv4 yn profi un llwybr, nid y polisi.

Mae newidiadau rhwydwaith yn newid yr ateb hefyd. Gall ymuno â rhwydwaith Wi-Fi gwahanol, ailddechrau o gwsg neu newid i’r rhwydwaith symudol roi rhagosodiad IPv6 newydd i’r ddyfais, ac efallai na fydd y polisi a oedd yn ddigonol ar LAN y swyddfa yn ei gwmpasu.

Profwch y cyflwr lle mae’r twnnel i lawr

Mae profi tra’n gysylltiedig yn dweud wrthych fod y twnnel yn gweithio. Y prawf diddorol yw’r cyflwr sydd ddim ar gael, oherwydd dyna pryd y dylai’r switsh diffodd ddal. Stopiwch y twnnel yn fwriadol, yna rhowch gynnig ar y cyrchfannau sy’n bwysig o’r ap rydych yn ei amddiffyn.

# with the tunnel stopped, does anything still leave?
ip -6 route get 2606:4700:4700::1111
curl -6 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv6.example.net/
curl -4 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv4.example.net/

Dylai’r ddau deulu fethu ar gau. Os yw’r cais IPv4 yn rhedeg allan o amser ac mae’r cais IPv6 yn dychwelyd cod statws, mae’r polisi’n anghyflawn, ac ni fydd unrhyw faint o ailbrofi’r twnnel yn newid hynny.

Cadwch yr eithriadau dogfennedig yn y prawf hwnnw hefyd. Efallai y bydd angen i ddarganfod rhwydwaith lleol, adnewyddiad DHCP neu lwybr cychwynnol i bwynt terfyn y VPN aros yn gyrraeddadwy, a dylid enwi’r eithriadau hynny yn y polisi yn hytrach na’u darganfod yn ystod toriad. Nid canfyddiad diogelwch yw prawf gollyngiad sy’n methu oherwydd na all y twnnel ddod yn ôl, canfyddiad cysylltedd ydyw.