IPv4-VPN-sääntösi ei kerro mitään IPv6-liikenteestä

Tarkastus havaitsee, että tunneli on samalla liitännällä suodatettu tiukasti IPv4:lle ja täysin avoin IPv6:lle. Mitään ei ollut kokoonpantu väärin kirjoitusvirheen mielessä; sääntöjoukko yksinkertaisesti kuvasi yhtä perhettä ja kaikki olettivat toisen seuraavan. Se tekee niin harvoin. Kolme ehtoa ratkaisee, kattaako sääntösi todella molemmat, ja ensimmäinen koskee alustaa eikä käytäntöä.

Ehto yksi: onko alustalla yksi taulukko vai kaksi

Jotkin pakettisuodattimet pitävät IPv4:n ja IPv6:n täysin erillisissä sääntöjoukoissa, joten toiseen lisätty sääntö ei vaikuta toiseen ennen kuin joku monistaa sen. Toiset tarjoavat perheen, joka sopii molempiin ja kääntää osoitteet pakettikohtaisesti. Kolmas ryhmä pitää yhtä käytäntökieltä mutta tallentaa sen taakse erilliset objektit perheittäin.

Lue sen suodattimen dokumentaatio, jota todella ajat, ja luettele sitten, mitkä taulukot ovat olemassa ja mihin muutoksesi osui. IPv4-taulukon sääntöjen laskeminen vastaa kysymykseen, jota kukaan ei esittänyt. Luettele sitten, mitkä taulukot ovat olemassa ja mihin muutoksesi osui.

Ehto kaksi: missä käytäntöä sovelletaan

Kolme paikkaa sekoitetaan keskenään: kuuntelija, joka ottaa tunnelin vastaan, polku joka välittää liikennettä eteenpäin, ja tavallinen liitäntä, jota asiakas käyttää kun tunneli ei kuljeta virtaa. Yhdyskäytävä voi hyväksyä istunnon mutta pudottaa kaiken siitä eteenpäin välitetyn, ja se näyttää rikkinäiseltä tunnelilta eikä suodattimelta. Poista se sekaannus ennen kuin kirjoitat mitään, koska kolmella paikalla on eri omistajat ja eri lokit. Niiden nimeäminen muutosmerkinnässä estää korjauksen laskeutumisen kerroksen päähän viasta.

Kirjoita muistiin, mitä kolmesta paikasta sääntösi on tarkoitus hallita. Kuuntelijaa suojaava sääntö ei suojaa välitettyä polkua, eikä kumpikaan sulje asiakkaan suoraa reittiä. Huomaa, kuka omistaa kunkin paikan, koska vastaus on useimmissa organisaatioissa eri tiimi.

Ehto kolme: mitä IPv6:n pitäisi tehdä

Päätä, kulkeeko IPv6 tunnelin läpi, estetäänkö se kun suojausta ei ole saatavilla, vai noudattaako se dokumentoitua poikkeusta. Jokainen vastaus tuottaa erilaisen sääntöjoukon, ja kysymyksen avoimeksi jättäminen on se, miten asiakas, jolla on natiivi IPv6, päätyy saavuttamaan tunnelin ulkopuolisia kohteita, jotka se saavuttaa sen sisällä IPv4:n kautta.

Sano vastaus ääneen ennen kuin kirjoitat sääntöjä. Estäminen on laillinen valinta tunnelille, joka ei kuljeta IPv6:ta, kunhan se on tahallista ja testattua eikä tyhjän taulukon satunnainen seuraus. Kaikki dokumentoimaton päätetään uudelleen seuraavan sääntöihin koskevan toimesta, ja yleensä kiireessä.

ICMPv6 on ohjausliikennettä

Naapureiden löytäminen ja polun palaute kulkevat molemmat ICMPv6:n päällä, joten IPv4-tottumuksesta kopioitu kaiken kattava pudotus rikkoo osoitteistuksen ja suuret siirrot samaan aikaan. Kaiken kattava salliminenkaan ei ole vastaus, koska se luovuttaa kanavan, jota kukaan ei valvo.

Noudata suodatusohjetta tärkeiden viestityyppien osalta ja hylkää loput perusteluineen. Virhe, joka diagnosoidaan useimmin väärin, on puuttuva Packet Too Big -viesti, joka näyttäytyy yhteytenä, joka avautuu ja sitten juuttuu.

Sen todistaminen, yksi perhe kerrallaan

Testaa valtuutettu pyyntö kummankin perheen yli erikseen ja toista se uudelleenyhdistämisen jälkeen, jos käytännön on tarkoitus kestää istunto. Testi vain IPv4-verkossa ei voi harjoittaa IPv6-reittiä, joten läpäisy ei kerro mitään vuodosta, jota yrität sulkea. Seuraa laskureita testin aikana, koska sääntö, joka ei koskaan täsmää, ei tee sitä, mitä sen kommentti väittää.

Muuta yhtä rajattua sääntöä yritystä kohti ja pidä edellinen kokoonpano käsillä. Jos käytäntö kuuluu hallitulle profiilille, ota sen ylläpitäjä mukaan ennen paikallista muokkausta, koska seuraava tarkistus kirjoittaa paikallisen korjauksen yli ja palauttaa vuodon.