Ο κανόνας σας VPN για IPv4 δεν λέει τίποτα για την κίνηση IPv6

Ένας έλεγχος βρίσκει τη σήραγγα φιλτραρισμένη στενά για IPv4 και ορθάνοιχτη για IPv6 στην ίδια διεπαφή. Τίποτα δεν είχε ρυθμιστεί λάθος με την έννοια του τυπογραφικού λάθους· το σύνολο κανόνων απλώς περιέγραφε μία οικογένεια και όλοι υπέθεσαν ότι η άλλη ακολουθεί. Σπάνια το κάνει. Τρεις συνθήκες καθορίζουν αν ο κανόνας σας καλύπτει πραγματικά και τις δύο, και η πρώτη αφορά την πλατφόρμα και όχι την πολιτική.

Συνθήκη πρώτη: έχει η πλατφόρμα έναν πίνακα ή δύο

Ορισμένα φίλτρα πακέτων κρατούν το IPv4 και το IPv6 σε εντελώς χωριστά σύνολα κανόνων, οπότε ένας κανόνας που προστίθεται στο ένα δεν έχει κανένα αποτέλεσμα στο άλλο μέχρι κάποιος να τον αντιγράψει. Άλλα προσφέρουν μια οικογένεια που ταιριάζει και στα δύο και μεταφράζει τις διευθύνσεις ανά πακέτο. Μια τρίτη ομάδα κρατά μία γλώσσα πολιτικής αλλά αποθηκεύει πίσω της χωριστά αντικείμενα ανά οικογένεια.

Διαβάστε την τεκμηρίωση για το φίλτρο που εκτελείτε πραγματικά και μετά καταγράψτε ποιοι πίνακες υπάρχουν και ποιον άγγιξε η αλλαγή σας. Το μέτρημα των κανόνων στον πίνακα IPv4 απαντά σε ένα ερώτημα που δεν έθεσε κανείς. Μετά καταγράψτε ποιοι πίνακες υπάρχουν και ποιον άγγιξε η αλλαγή σας.

Συνθήκη δεύτερη: πού εφαρμόζεται η πολιτική

Τρία σημεία συγχέονται μεταξύ τους: ο ακροατής που δέχεται τη σήραγγα, η διαδρομή που προωθεί την κίνηση παραπέρα και η συνηθισμένη διεπαφή που χρησιμοποιεί ο πελάτης όταν η σήραγγα δεν μεταφέρει ροή. Μια πύλη μπορεί να δέχεται συνεδρία ενώ απορρίπτει ό,τι προωθείται από αυτήν, και αυτό μοιάζει με σπασμένη σήραγγα παρά με φίλτρο. Αφαιρέστε αυτή τη σύγχυση πριν γράψετε οτιδήποτε, γιατί τα τρία σημεία έχουν διαφορετικούς ιδιοκτήτες και διαφορετικά αρχεία καταγραφής. Το να τα ονομάσετε στο αρχείο αλλαγών είναι αυτό που εμποδίζει μια διόρθωση να προσγειωθεί ένα στρώμα μακριά από τη βλάβη.

Γράψτε ποιο από τα τρία προορίζεται να διέπει ο κανόνας σας. Ένας κανόνας που προστατεύει τον ακροατή δεν προστατεύει τη διαδρομή προώθησης, και κανένας από τους δύο δεν κλείνει την άμεση διαδρομή του πελάτη. Σημειώστε σε ποιον ανήκει κάθε σημείο, γιατί η απάντηση στις περισσότερες οργανώσεις είναι διαφορετική ομάδα.

Συνθήκη τρίτη: τι πρέπει να κάνει το IPv6

Αποφασίστε αν το IPv6 ταξιδεύει μέσα από τη σήραγγα, αν αποκλείεται όσο η προστασία δεν είναι διαθέσιμη ή αν ακολουθεί τεκμηριωμένη εξαίρεση. Κάθε απάντηση παράγει διαφορετικό σύνολο κανόνων, και το να αφήνετε το ερώτημα ανοιχτό είναι ο τρόπος με τον οποίο ένας πελάτης με εγγενές IPv6 φτάνει σε προορισμούς έξω από τη σήραγγα που τους φτάνει μέσα της μέσω IPv4.

Πείτε την απάντηση δυνατά πριν γράψετε κανόνες. Ο αποκλεισμός είναι νόμιμη επιλογή για μια σήραγγα που δεν μεταφέρει IPv6, αρκεί να είναι σκόπιμος και δοκιμασμένος και όχι το τυχαίο αποτέλεσμα ενός κενού πίνακα. Οτιδήποτε ατεκμηρίωτο θα το ξαναποφασίσει όποιος αγγίξει τους κανόνες την επόμενη φορά, και συνήθως βιαστικά.

Το ICMPv6 είναι κίνηση ελέγχου

Η ανακάλυψη γειτόνων και η ανατροφοδότηση διαδρομής κινούνται και τα δύο πάνω στο ICMPv6, οπότε μια γενική απόρριψη αντιγραμμένη από συνήθεια του IPv4 σπάει τη διευθυνσιοδότηση και τις μεγάλες μεταφορές ταυτόχρονα. Ούτε η γενική αποδοχή είναι η απάντηση, γιατί παραδίδει ένα κανάλι που δεν παρακολουθεί κανείς.

Ακολουθήστε την καθοδήγηση φιλτραρίσματος για τους τύπους μηνυμάτων που έχουν σημασία και απορρίψτε τα υπόλοιπα με αιτιολογία. Η βλάβη που διαγιγνώσκεται λανθασμένα συχνότερα είναι το απόν μήνυμα Packet Too Big, που εμφανίζεται ως σύνδεση που ανοίγει και μετά κολλάει.

Να το αποδείξετε, μία οικογένεια τη φορά

Δοκιμάστε ένα εξουσιοδοτημένο αίτημα σε κάθε οικογένεια χωριστά και μετά επαναλάβετε μετά από επανασύνδεση αν η πολιτική πρέπει να επιβιώσει της συνεδρίας. Μια δοκιμή σε δίκτυο μόνο IPv4 δεν μπορεί να ασκήσει διαδρομή IPv6, οπότε η επιτυχία δεν λέει τίποτα για τη διαρροή που προσπαθείτε να κλείσετε. Παρακολουθήστε τους μετρητές όσο τρέχει η δοκιμή, γιατί ένας κανόνας που δεν ταιριάζει ποτέ δεν κάνει αυτό που ισχυρίζεται το σχόλιό του.

Αλλάξτε έναν περιορισμένο κανόνα ανά προσπάθεια και κρατήστε την προηγούμενη διαμόρφωση πρόχειρη. Όπου η πολιτική ανήκει σε διαχειριζόμενο προφίλ, εμπλέξτε τον διαχειριστή του πριν επεξεργαστείτε τοπικά, γιατί ο επόμενος έλεγχος θα αντικαταστήσει μια τοπική διόρθωση και θα επαναφέρει τη διαρροή.