Aturan VPN IPv4 Anda tidak menyebut apa pun tentang lalu lintas IPv6

Audit menemukan terowongan difilter secara ketat untuk IPv4 dan terbuka lebar untuk IPv6 pada antarmuka yang sama. Tidak ada yang salah konfigurasi dalam arti salah ketik; kumpulan aturan hanya menjelaskan satu keluarga dan semua orang menganggap keluarga lain mengikutinya. Itu jarang terjadi. Tiga kondisi menentukan apakah aturan Anda benar-benar mencakup keduanya, dan yang pertama berkaitan dengan platform, bukan kebijakan.

Kondisi satu: apakah platform punya satu tabel atau dua

Beberapa filter paket menyimpan IPv4 dan IPv6 dalam kumpulan aturan yang benar-benar terpisah, sehingga aturan yang ditambahkan ke satu tidak berpengaruh pada yang lain sampai seseorang menduplikasinya. Yang lain menawarkan keluarga yang cocok untuk keduanya dan menerjemahkan alamat per paket. Kelompok ketiga menyimpan satu bahasa kebijakan tetapi menyimpan objek terpisah per keluarga di belakangnya.

Bacalah dokumentasi filter yang benar-benar Anda jalankan, lalu daftarkan tabel mana yang ada dan tabel mana yang disentuh perubahan Anda. Menghitung aturan di tabel IPv4 menjawab pertanyaan yang tidak diajukan siapa pun. Lalu daftarkan tabel mana yang ada dan tabel mana yang disentuh perubahan Anda.

Kondisi dua: di mana kebijakan berlaku

Tiga tempat saling tertukar: pendengar yang menerima terowongan, jalur yang meneruskan lalu lintas, dan antarmuka biasa yang dipakai klien ketika terowongan tidak membawa aliran. Gateway dapat menerima sesi sambil membuang semua yang diteruskan darinya, dan itu terlihat seperti terowongan rusak, bukan filter. Hilangkan kebingungan itu sebelum menulis apa pun, karena ketiga tempat memiliki pemilik dan log yang berbeda. Menyebutkannya dalam catatan perubahan adalah yang mencegah perbaikan mendarat satu lapis jauh dari kesalahan.

Tuliskan mana dari ketiganya yang dimaksud aturan Anda. Aturan yang melindungi pendengar tidak melindungi jalur yang diteruskan, dan tidak satu pun menutup rute langsung klien. Perhatikan siapa pemilik tiap tempat, karena jawabannya adalah tim berbeda di sebagian besar organisasi.

Kondisi tiga: apa yang harus dilakukan IPv6

Putuskan apakah IPv6 melewati terowongan, diblokir saat perlindungan tidak tersedia, atau mengikuti pengecualian yang didokumentasikan. Setiap jawaban menghasilkan kumpulan aturan berbeda, dan membiarkan pertanyaan terbuka adalah cara klien dengan IPv6 asli mencapai tujuan di luar terowongan yang ia capai di dalamnya lewat IPv4.

Katakan jawabannya dengan lantang sebelum menulis aturan. Pemblokiran adalah pilihan sah untuk terowongan yang tidak membawa IPv6, asalkan disengaja dan diuji, bukan hasil kebetulan dari tabel kosong. Apa pun yang tidak didokumentasikan akan diputuskan ulang oleh siapa pun yang menyentuh aturan berikutnya, dan biasanya dengan tergesa-gesa.

ICMPv6 adalah lalu lintas kendali

Penemuan tetangga dan umpan balik jalur keduanya berjalan di atas ICMPv6, sehingga pembuangan menyeluruh yang disalin dari kebiasaan IPv4 merusak pengalamatan dan transfer besar sekaligus. Mengizinkan menyeluruh juga bukan jawabannya, karena itu menyerahkan kanal yang tidak diawasi siapa pun.

Ikuti panduan pemfilteran untuk jenis pesan yang penting dan tolak sisanya dengan alasan. Kegagalan yang paling sering salah didiagnosis adalah pesan Packet Too Big yang hilang, yang muncul sebagai koneksi yang terbuka lalu macet.

Membuktikannya, satu keluarga setiap kali

Uji permintaan resmi pada setiap keluarga secara terpisah, lalu ulangi setelah menyambung ulang jika kebijakan seharusnya bertahan melewati sesi. Uji pada jaringan hanya IPv4 tidak dapat menjalankan rute IPv6, jadi kelulusan tidak menunjukkan apa pun tentang kebocoran yang ingin Anda tutup. Perhatikan penghitung saat pengujian berjalan, karena aturan yang tidak pernah cocok tidak melakukan apa yang diklaim komentarnya.

Ubah satu aturan berlingkup per percobaan dan simpan konfigurasi sebelumnya di tangan. Di tempat profil terkelola memiliki kebijakan, libatkan administratornya sebelum mengedit secara lokal, karena pemeriksaan berikutnya akan menimpa perbaikan lokal dan memulihkan kebocoran.