თქვენი IPv4 VPN წესი არაფერს ამბობს IPv6 ტრაფიკზე

აუდიტი აღმოაჩენს, რომ გვირაბი იმავე ინტერფეისზე IPv4-ისთვის მჭიდროდ გაფილტრულია, ხოლო IPv6-ისთვის სრულად ღია. არაფერი ყოფილა არასწორად კონფიგურირებული ბეჭდვითი შეცდომის მნიშვნელობით; წესების ნაკრები უბრალოდ ერთ ოჯახს აღწერდა და ყველამ ივარაუდა, რომ მეორე მას მიჰყვებოდა. ეს იშვიათად ხდება. სამი პირობა განსაზღვრავს, ფარავს თუ არა თქვენი წესი ნამდვილად ორივეს, და პირველი პლატფორმას ეხება და არა პოლიტიკას.

პირობა პირველი: აქვს პლატფორმას ერთი ცხრილი თუ ორი

ზოგიერთი პაკეტის ფილტრი IPv4-სა და IPv6-ს სრულიად ცალკე წესების ნაკრებებში ინახავს, ამიტომ ერთში დამატებული წესი მეორეზე არ მოქმედებს, სანამ ვინმე მას არ დააკოპირებს. სხვები გვთავაზობენ ოჯახს, რომელიც ორივეს ერგება და მისამართებს თითოეული პაკეტისთვის თარგმნის. მესამე ჯგუფი ინახავს ერთ პოლიტიკურ ენას, მაგრამ მის უკან თითოეული ოჯახისთვის ცალკე ობიექტებს ინახავს.

წაიკითხეთ იმ ფილტრის დოკუმენტაცია, რომელსაც რეალურად ამუშავებთ, შემდეგ ჩამოთვალეთ რომელი ცხრილები არსებობს და რომელს შეეხო თქვენი ცვლილება. IPv4 ცხრილში წესების დათვლა პასუხობს კითხვას, რომელიც არავინ დაუსვამს. შემდეგ ჩამოთვალეთ რომელი ცხრილები არსებობს და რომელს შეეხო თქვენი ცვლილება.

პირობა მეორე: სად გამოიყენება პოლიტიკა

სამი ადგილი ერთმანეთში ირევა: მსმენელი, რომელიც გვირაბს იღებს, გზა, რომელიც ტრაფიკს შემდგომ გადასცემს და ჩვეულებრივი ინტერფეისი, რომელსაც კლიენტი იყენებს, როცა გვირაბი ნაკადს არ ატარებს. კარიბჭეს შეუძლია სესია მიიღოს და ამავდროულად გადააგდოს ყველაფერი, რაც მისგან გადაეცემა, და ეს ფილტრზე მეტად გატეხილ გვირაბს ჰგავს. მოაშორეთ ეს დაბნეულობა სანამ რაიმეს დაწერთ, რადგან სამ ადგილს სხვადასხვა მფლობელი და სხვადასხვა ჟურნალი აქვს. მათი დასახელება ცვლილების ჩანაწერში არის ის, რაც ხელს უშლის შესწორების ერთი ფენით დაშორებას ხარვეზისგან.

ჩაწერეთ, სამი ადგილიდან რომელი უნდა მართოს თქვენმა წესმა. მსმენელის დამცავი წესი არ იცავს გადაცემულ გზას და არც ერთი მათგანი არ კეტავს კლიენტის პირდაპირ მარშრუტს. დააკვირდით, ვის ეკუთვნის თითოეული ადგილი, რადგან პასუხი უმეტეს ორგანიზაციებში სხვა გუნდია.

პირობა მესამე: რა უნდა გააკეთოს IPv6-მა

გადაწყვიტეთ, გადის თუ არა IPv6 გვირაბში, იბლოკება, სანამ დაცვა მიუწვდომელია, თუ მიჰყვება დოკუმენტირებულ გამონაკლისს. თითოეული პასუხი სხვა წესების ნაკრებს ქმნის, და კითხვის ღიად დატოვება არის ის, რითაც მშობლიური IPv6-ის მქონე კლიენტი აღწევს გვირაბის გარეთ იმ დანიშნულების ადგილებს, რომლებსაც მის შიგნით IPv4-ით აღწევს.

თქვით პასუხი ხმამაღლა სანამ წესებს დაწერთ. ბლოკირება ლეგიტიმური არჩევანია გვირაბისთვის, რომელიც IPv6-ს არ ატარებს, იმ პირობით, რომ ის განზრახ და შემოწმებულია და არა ცარიელი ცხრილის შემთხვევითი შედეგი. ყველაფერი არადოკუმენტირებული ხელახლა გადაწყდება მის მიერ, ვინც შემდეგ შეეხება წესებს, და ჩვეულებრივ ჩქარობაში.

ICMPv6 არის მართვის ტრაფიკი

მეზობლების აღმოჩენა და გზის უკუკავშირი ორივე ICMPv6-ზე მიდის, ამიტომ IPv4-ის ჩვეულებიდან კოპირებული საერთო ჩამოშორება ერთდროულად არღვევს მისამართებს და დიდ გადაცემებს. საერთო დაშვება ასევე არ არის პასუხი, რადგან ის გადასცემს არხს, რომელსაც არავინ აკვირდება.

მიჰყევით ფილტრაციის მითითებებს მნიშვნელოვანი შეტყობინების ტიპებისთვის და დანარჩენი უარყავით მიზეზით. ხარვეზი, რომელიც ყველაზე ხშირად არასწორად დიაგნოსტირდება, არის დაკარგული Packet Too Big შეტყობინება, რომელიც ჩანს როგორც კავშირი, რომელიც იხსნება და შემდეგ ჩერდება.

ამის დამტკიცება, ერთი ოჯახი ერთდროულად

გამოსცადეთ ნებადართული მოთხოვნა თითოეულ ოჯახზე ცალკე, შემდეგ გაიმეორეთ ხელახლა დაკავშირების შემდეგ, თუ პოლიტიკა სესიას უნდა გადაურჩეს. მხოლოდ IPv4 ქსელში ტესტი ვერ გაატარებს IPv6 მარშრუტს, ამიტომ წარმატება არაფერს ამბობს იმ გაჟონვაზე, რომლის დახურვასაც ცდილობთ. აკვირდით მთვლელებს ტესტის გაშვებისას, რადგან წესი, რომელიც არასოდეს ემთხვევა, არ აკეთებს იმას, რასაც მისი კომენტარი ამტკიცებს.

შეცვალეთ ერთი შემოსაზღვრული წესი თითო ცდაზე და ხელთ გქონდეთ წინა კონფიგურაცია. სადაც პოლიტიკას მართული პროფილი ფლობს, ჩართეთ მისი ადმინისტრატორი ლოკალურ რედაქტირებამდე, რადგან შემდეგი შემოწმება გადაწერს ლოკალურ შესწორებას და გაჟონვას დააბრუნებს.