Az IPv4-es VPN-szabály semmit sem mond az IPv6-forgalomról

Egy audit azt találja, hogy az alagút ugyanazon a felületen szorosan szűrt az IPv4 számára, és teljesen nyitott az IPv6 számára. Semmi sem volt hibásan konfigurálva elgépelés értelmében; a szabálykészlet egyszerűen egy családot írt le, és mindenki feltételezte, hogy a másik követi. Ez ritkán történik meg. Három feltétel dönti el, hogy szabálya valóban mindkettőt lefedi-e, és az első a platformról szól, nem a házirendről.

Első feltétel: egy táblája van a platformnak vagy kettő

Egyes csomagszűrők az IPv4-et és az IPv6-ot teljesen külön szabálykészletekben tartják, így az egyikhez hozzáadott szabály addig nincs hatással a másikra, amíg valaki meg nem duplikálja. Mások olyan családot kínálnak, amely mindkettőre illeszkedik, és csomagonként fordítja a címeket. Egy harmadik csoport egyetlen házirend-nyelvet tart, de mögötte családonként külön objektumokat tárol.

Olvassa el annak a szűrőnek a dokumentációját, amelyet valóban futtat, majd listázza, mely táblák léteznek, és melyiket érintette a változtatás. Az IPv4-tábla szabályainak megszámlálása olyan kérdésre válaszol, amelyet senki nem tett fel. Ezután listázza, mely táblák léteznek, és melyiket érintette a változtatás.

Második feltétel: hol érvényesül a házirend

Három helyet kevernek össze egymással: a figyelőt, amely elfogadja az alagutat, az útvonalat, amely továbbítja a forgalmat, és a szokásos felületet, amelyet az ügyfél használ, amikor az alagút nem visz folyamot. Egy átjáró elfogadhat egy munkamenetet, miközben mindent eldob, ami abból továbbításra kerül, és ez inkább törött alagútnak látszik, mint szűrőnek. Távolítsa el ezt a zavart, mielőtt bármit írna, mert a három helynek különböző tulajdonosai és különböző naplói vannak. A nevük megadása a változásjegyzékben az, ami megakadályozza, hogy egy javítás egy réteggel a hiba mellé kerüljön.

Írja le, hogy a három közül melyiket hivatott szabályozni a szabálya. A figyelőt védő szabály nem védi a továbbított útvonalat, és egyik sem zárja le az ügyfél közvetlen útvonalát. Jegyezze fel, ki birtokolja az egyes helyeket, mert a válasz a legtöbb szervezetben más csapat.

Harmadik feltétel: mit tegyen az IPv6

Döntse el, hogy az IPv6 áthalad-e az alagúton, blokkolódik-e, amíg a védelem nem elérhető, vagy dokumentált kivételt követ. Minden válasz más szabálykészletet eredményez, és a kérdés nyitva hagyása az, ahogyan egy natív IPv6-tal rendelkező ügyfél eléri az alagúton kívüli célokat, amelyeket azon belül IPv4-en ér el.

Mondja ki a választ hangosan, mielőtt szabályokat ír. A blokkolás jogos választás olyan alagút esetében, amely nem visz IPv6-ot, feltéve, hogy szándékos és tesztelt, nem pedig egy üres tábla véletlen eredménye. Minden dokumentálatlant újra eldönt az, aki legközelebb hozzányúl a szabályokhoz, és általában sietve.

Az ICMPv6 vezérlőforgalom

A szomszédok felderítése és az útvonal-visszajelzés is az ICMPv6-on utazik, ezért az IPv4-szokásból másolt átfogó eldobás egyszerre töri meg a címzést és a nagy átviteleket. Az átfogó engedélyezés sem válasz, mert olyan csatornát ad át, amelyet senki sem figyel.

Kövesse a szűrési útmutatást a fontos üzenettípusoknál, a többit pedig indoklással utasítsa el. A leggyakrabban hibásan diagnosztizált hiba a hiányzó Packet Too Big üzenet, amely úgy jelenik meg, mint egy kapcsolat, amely megnyílik, majd elakad.

Bizonyítani, családonként egyet

Teszteljen engedélyezett kérést családonként külön, majd ismételje meg újracsatlakozás után, ha a házirendnek túl kell élnie a munkamenetet. Egy csak IPv4-es hálózaton végzett teszt nem tud IPv6-útvonalat gyakorolni, ezért az átmenés semmit sem mond a zárni kívánt szivárgásról. Figyelje a számlálókat a teszt alatt, mert az a szabály, amely soha nem illeszkedik, nem azt teszi, amit a megjegyzése állít.

Kísérletenként egy határolt szabályt változtasson, és tartsa kéznél az előző konfigurációt. Ahol felügyelt profil birtokolja a házirendet, vonja be annak adminisztrátorát a helyi szerkesztés előtt, mert a következő ellenőrzés felülírja a helyi javítást, és visszaállítja a szivárgást.