כלל ה-VPN שלכם ל-IPv4 לא אומר דבר על תעבורת IPv6

ביקורת מגלה שהמנהרה מסוננת היטב עבור IPv4 ופתוחה לרווחה עבור IPv6 באותו ממשק. שום דבר לא הוגדר שגוי במובן של שגיאת הקלדה; מערך הכללים פשוט תיאר משפחה אחת וכולם הניחו שהשנייה הולכת אחריה. זה קורה לעתים רחוקות. שלושה תנאים קובעים אם הכלל שלכם באמת מכסה את שתיהן, והראשון עוסק בפלטפורמה ולא במדיניות.

תנאי ראשון: האם לפלטפורמה יש טבלה אחת או שתיים

חלק ממסנני המנות שומרים את IPv4 ו-IPv6 במערכי כללים נפרדים לחלוטין, כך שכלל שנוסף לאחד אינו משפיע על השני עד שמישהו משכפל אותו. אחרים מציעים משפחה שמתאימה לשניהם ומתרגמת את הכתובות לפי מנה. קבוצה שלישית שומרת שפת מדיניות אחת אך מאחסנת מאחוריה אובייקטים נפרדים לכל משפחה.

קראו את התיעוד של המסנן שאתם מפעילים בפועל, ואז רשמו אילו טבלאות קיימות ואיזו מהן השינוי שלכם נגע בה. ספירת הכללים בטבלת IPv4 עונה על שאלה שאיש לא שאל. ואז רשמו אילו טבלאות קיימות ואיזו מהן השינוי שלכם נגע בה.

תנאי שני: היכן חלה המדיניות

שלושה מקומות מתבלבלים זה עם זה: המאזין שמקבל את המנהרה, הנתיב שמעביר את התעבורה הלאה והממשק הרגיל שהלקוח משתמש בו כשהמנהרה אינה נושאת זרימה. שער יכול לקבל הפעלה ובמקביל להפיל כל מה שמועבר ממנה, וזה נראה כמו מנהרה שבורה ולא כמו מסנן. הסירו את הבלבול הזה לפני שתכתבו משהו, כי לשלושת המקומות יש בעלים ויומנים שונים. מתן שמות להם ברשומת השינוי הוא מה שמונע מתיקון לנחות שכבה אחת רחוק מהתקלה.

רשמו איזה משלושת המקומות הכלל שלכם אמור לשלוט בו. כלל שמגן על המאזין אינו מגן על הנתיב המועבר, ואף אחד מהם אינו סוגר את המסלול הישיר של הלקוח. שימו לב למי שייך כל מקום, כי התשובה ברוב הארגונים היא צוות אחר.

תנאי שלישי: מה צריך IPv6 לעשות

החליטו אם IPv6 עובר דרך המנהרה, נחסם כשהגנה אינה זמינה, או הולך לפי חריגה מתועדת. כל תשובה מייצרת מערך כללים אחר, והשארת השאלה פתוחה היא הדרך שבה לקוח עם IPv6 מקורי מגיע ליעדים מחוץ למנהרה שהוא מגיע אליהם בתוכה דרך IPv4.

אמרו את התשובה בקול לפני שתכתבו כללים. חסימה היא בחירה לגיטימית עבור מנהרה שאינה נושאת IPv6, כל עוד היא מכוונת ונבדקה ולא תוצאה מקרית של טבלה ריקה. כל דבר שלא תועד יוכרע מחדש בידי מי שיגע בכללים אחר כך, ובדרך כלל בחיפזון.

ICMPv6 הוא תעבורת בקרה

גילוי שכנים ומשוב נתיב שניהם רוכבים על ICMPv6, ולכן השלכה גורפת שהועתקה מהרגל IPv4 שוברת כתובות והעברות גדולות בו-זמנית. גם אישור גורף אינו התשובה, כי הוא מוסר ערוץ שאיש אינו צופה בו.

עקבו אחר הנחיות הסינון לסוגי ההודעות החשובים ודחו את השאר עם נימוק. התקלה המאובחנת בטעות לרוב היא הודעת Packet Too Big חסרה, שמופיעה כחיבור שנפתח ואז נתקע.

להוכיח את זה, משפחה אחת בכל פעם

בדקו בקשה מורשית דרך כל משפחה בנפרד, ואז חזרו על כך לאחר התחברות מחדש אם המדיניות אמורה לשרוד את ההפעלה. בדיקה ברשת IPv4 בלבד אינה יכולה להפעיל נתיב IPv6, ולכן ההצלחה אינה אומרת דבר על הדליפה שאתם מנסים לסגור. עקבו אחר המונים בזמן הבדיקה, כי כלל שלעולם אינו מתאים אינו עושה את מה שההערה שלו טוענת.

שנו כלל תחום אחד בכל ניסיון והחזיקו את התצורה הקודמת בהישג יד. כאשר פרופיל מנוהל הוא הבעלים של המדיניות, שלבו את מנהלו לפני עריכה מקומית, כי הבדיקה הבאה תדרוס תיקון מקומי ותחזיר את הדליפה.