Ní chuireann an lasc mhúchta bac ach ar IPv4: cén fáth a n-éalaíonn IPv6 fós

Titeann an tollán, tuairiscíonn an lasc mhúchta gur ghníomhaigh sí, agus leanann íoslódáil ar aghaidh. Níl aon rud briste i rialacha IPv4. Ní dhearna an aip ach bogadh go cosán nár scríobhadh na rialacha sin riamh dó.

Tá dhá bhealach amach neamhspleácha ag gléiseanna dé-stac. Is leath-bhac é bac ar cheann acu.

Dhá shraith rialacha, dhá réamhshocrú

Ar Linux, is táblaí ar leith iad iptables agus ip6tables le beartais ar leith. Ní athraíonn sé aon rud sa tábla IPv6 na slabhraí INPUT agus OUTPUT de thábla IPv4 a chur ar DROP, áit a mbíonn an réamhshocrú de ghnáth ina ACCEPT. Tá an deighilt chéanna ann in nftables, áit ar féidir leat teaghlach amháin a scrúdú agus a fháil amach nach bhfuil do rialacha á n-iompar ach ag ceann amháin acu. Tá an neamhshiméadracht sin normálta, agus is é an fhadhb ar fad é.

Sin é an fáth gur féidir le lasc mhúchta breathnú críochnúil agus gníomhú go páirteach. Ritheadh an script a scríobh rialacha IPv4, tá na contairí ag méadú, tagann an líne loga chun cinn, agus fágann paicéad IPv6 an comhéadan fisiceach go hiomlán slán.

Léigh cad a shuiteáil do chliant i ndáiríre seach a ngeallann an leathanach margaíochta. Stiúrann roinnt cliant IPv6 isteach sa tollán, cuireann cuid acu bac air go toiliúil, agus fágann cuid eile faoi réim é agus glasáil ar leibhéal an ardáin ag cur riail eile i bhfeidhm. Is é doiciméadú an díoltóra an t-aon fhoinse ar fiú muinín a bheith agat as anseo.

Cad a insíonn cumraíocht an chomhéadain duit

Cuimsíonn leathanach lámhleabhair wg-quick rialacha IPv6 ina chumraíocht shamplach, agus is é an bhearna seo go beacht an chúis. Ní maisiú é an sampla. Tá sé ann mar go bhfágfadh rialacha IPv4 amháin an dara teaghlach oscailte.

Má chóipeáiltear leath de shampla, cruthaítear leath de bheartas. Sin an bunús is coitianta don sceitheadh seo. Ghearr postáil blag an sampla ar mhaithe le fad. Ansin rinneadh an leagan gearrtha ina theimpléad a d’athúsáid gach duine.

# what is actually installed, per family?
sudo iptables -S OUTPUT | head -20
sudo ip6tables -S OUTPUT | head -20

# nftables: inspect each family separately
sudo nft list ruleset inet | head -40

# does this host even have a usable IPv6 path?
ip -6 route show default

Má phriontálann an dara ordú beartas ceadúil agus an chéad cheann ag priontáil DROP, tá an freagra aimsithe agat gan an cliant a bhaint. Is é an neamhshiméadracht sin an fabht.

Cén fáth nach é aon chuardach an scéal ar fad

Is féidir le haon ainm taifead A agus taifead AAAA araon a thabhairt ar ais, agus ní roghnaíonn gach feidhmchlár ar an mbealach céanna. Féadfaidh brabhsálaí IPv6 a fhabhrú nuair a thairgeann an líonra é agus titim siar ar theip, agus úsáideann sioncronú cúlra nó nuashonraitheoir a réititheoir agus a rogha féin. Mar sin cruthaíonn aon triail rathúil thar IPv4 cosán amháin, ní an beartas.

Athraíonn aistrithe líonra an freagra freisin. Féadfaidh dul isteach i líonra Wi-Fi eile, teacht chun solais ón gcodladh nó aistriú go líonra soghluaiste réimír IPv6 nua a thabhairt don ghléas, agus b’fhéidir nach gcúdóidh an beartas a bhí measartha leordhóthanach ar LAN na hoifige é.

Tástáil an staid ina bhfuil an tollán síos

Insíonn tástáil agus tú ceangailte duit go n-oibríonn an tollán. Is é an staid neamh-infhaighthe an tástáil spéisiúil, mar is ansin atá an lasc mhúchta le coinneáil. Stop an tollán d’aon ghnó, ansin triail na cinn scríbe atá tábhachtach ón aip atá á cosaint agat.

# with the tunnel stopped, does anything still leave?
ip -6 route get 2606:4700:4700::1111
curl -6 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv6.example.net/
curl -4 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv4.example.net/

Ba cheart don dá theaghlach teip go dúnta. Má théann an t-iarratas IPv4 thar am agus má fhilleann an t-iarratas IPv6 cód stádais, tá an beartas neamhiomlán, agus ní athróidh aon mhéid d’ath-thástáil an tolláin é sin.

Coinnigh na heisceachtaí doiciméadaithe sa tástáil sin freisin. B’fhéidir go gcaithfidh fionnachtain líonra áitiúil, athnuachan DHCP nó an cosán tosaithe chuig críochphointe VPN fanacht inrochtana, agus ba cheart na heisceachtaí sin a ainmniú sa bheartas seachas iad a aimsiú le linn timpiste. Ní fionnachtain slándála é tástáil sceite a theipeann toisc nach féidir leis an tollán teacht aníos arís, is fionnachtain nascachta é.