Vaše IPv4 VPN pravilo ne govori ništa o IPv6 prometu

Revizija otkriva da je tunel čvrsto filtriran za IPv4 i širom otvoren za IPv6 na istom sučelju. Ništa nije bilo pogrešno konfigurirano u smislu pogreške pri tipkanju; skup pravila jednostavno je opisivao jednu obitelj i svi su pretpostavili da druga slijedi. To rijetko čini. Tri uvjeta odlučuju pokriva li vaše pravilo zaista obje, a prvi se tiče platforme, a ne politike.

Uvjet prvi: ima li platforma jednu tablicu ili dvije

Neki filtri paketa drže IPv4 i IPv6 u potpuno odvojenim skupovima pravila, pa pravilo dodano jednome nema učinka na drugi dok ga netko ne duplicira. Drugi nude obitelj koja odgovara objema i prevodi adrese po paketu. Treća skupina drži jedan jezik politike, ali iza njega čuva odvojene objekte po obitelji.

Pročitajte dokumentaciju za filtar koji zaista pokrećete, zatim popišite koje tablice postoje i koju je vaša promjena dotaknula. Brojenje pravila u IPv4 tablici odgovara na pitanje koje nitko nije postavio. Zatim popišite koje tablice postoje i koju je vaša promjena dotaknula.

Uvjet drugi: gdje se politika primjenjuje

Tri se mjesta miješaju jedno s drugim: slušatelj koji prihvaća tunel, put koji prosljeđuje promet dalje i obično sučelje koje klijent koristi kada tunel ne nosi tok. Pristupnik može prihvatiti sesiju, a odbacivati sve što se iz nje prosljeđuje, i to izgleda kao pokvaren tunel, a ne filtar. Uklonite tu zabunu prije nego što bilo što napišete, jer tri mjesta imaju različite vlasnike i različite dnevnike. Imenovanje u zapisu o promjeni ono je što sprječava da popravak sleti jedan sloj dalje od kvara.

Zapišite koje od triju mjesta vaše pravilo treba nadzirati. Pravilo koje štiti slušatelj ne štiti proslijeđeni put, a nijedno ne zatvara izravnu rutu klijenta. Zabilježite kome pripada svako mjesto, jer je odgovor u većini organizacija drugi tim.

Uvjet treći: što IPv6 treba raditi

Odlučite putuje li IPv6 kroz tunel, blokira se dok zaštita nije dostupna, ili slijedi dokumentiranu iznimku. Svaki odgovor daje drugačiji skup pravila, a ostavljanje pitanja otvorenim način je na koji klijent s izvornim IPv6 stiže do odredišta izvan tunela koja dostiže unutar njega preko IPv4.

Izgovorite odgovor naglas prije pisanja pravila. Blokiranje je legitiman izbor za tunel koji ne nosi IPv6, sve dok je namjerno i testirano, a ne slučajan rezultat prazne tablice. Sve nedokumentirano iznova će odlučiti onaj tko sljedeći dotakne pravila, i to obično u žurbi.

ICMPv6 je upravljački promet

Otkrivanje susjeda i povratna informacija o putu voze se oboje na ICMPv6, pa sveobuhvatno odbacivanje prepisano iz IPv4 navike kvari adresiranje i velike prijenose istodobno. Sveobuhvatno dopuštanje također nije odgovor, jer predaje kanal koji nitko ne gleda.

Slijedite smjernice za filtriranje za važne vrste poruka i odbijte ostale uz razlog. Kvar koji se najčešće pogrešno dijagnosticira jest nedostajuća poruka Packet Too Big, koja se pojavljuje kao veza koja se otvori i zatim zapne.

Dokazati to, jedna obitelj po put

Testirajte autorizirani zahtjev preko svake obitelji odvojeno, zatim ponovite nakon ponovnog povezivanja ako politika treba preživjeti sesiju. Test na mreži samo s IPv4 ne može izvesti IPv6 rutu, pa uspjeh ne govori ništa o curenju koje pokušavate zatvoriti. Gledajte brojače dok test traje, jer pravilo koje nikad ne odgovara ne radi ono što tvrdi njegov komentar.

Mijenjajte jedno ograničeno pravilo po pokušaju i držite prethodnu konfiguraciju pri ruci. Gdje politiku posjeduje upravljani profil, uključite njegova administratora prije lokalnog uređivanja, jer će sljedeća provjera pregaziti lokalni popravak i vratiti curenje.