Сіздің IPv4 VPN ережесі IPv6 трафигі туралы ештеңе айтпайды

Аудит бір интерфейсте туннельдің IPv4 үшін қатты сүзілгенін, ал IPv6 үшін толық ашық екенін анықтайды. Теру қатесі мағынасында ештеңе дұрыс конфигурацияланбаған; ережелер жиынтығы бір отбасын сипаттады және бәрі екіншісі соған еретінін болжады. Бұл сирек болады. Ережеңіздің шын мәнінде екеуін де қамтитынын үш шарт шешеді, ал біріншісі саясатқа емес, платформаға қатысты.

Бірінші шарт: платформада бір кесте ме, әлде екі кесте ме

Кейбір пакет сүзгілері IPv4 пен IPv6-ны толығымен бөлек ереже жиынтықтарында ұстайды, сондықтан біреуіне қосылған ереже біреу оны көшірмейінше екіншісіне әсер етпейді. Басқалары екеуіне де сәйкес келетін отбасын ұсынады және мекенжайларды әр пакет бойынша аударады. Үшінші топ бір саясат тілін ұстайды, бірақ оның артында әр отбасы үшін жеке объектілерді сақтайды.

Іс жүзінде іске қосатын сүзгінің құжаттамасын оқыңыз, содан кейін қандай кестелер бар екенін және өзгерісіңіз қайсысына тигенін тізіп шығыңыз. IPv4 кестесіндегі ережелерді санау ешкім қоймаған сұраққа жауап береді. Содан кейін қандай кестелер бар екенін және өзгерісіңіз қайсысына тигенін тізіп шығыңыз.

Екінші шарт: саясат қайда қолданылады

Үш орын бір-бірімен шатастырылады: туннельді қабылдайтын тыңдаушы, трафикті әрі қарай жіберетін жол және туннель ағынды тасымалдамаған кезде клиент қолданатын қарапайым интерфейс. Шлюз сеансты қабылдай алады, бірақ одан әрі жіберілгеннің бәрін тастайды, және бұл сүзгіге емес, бұзылған туннельге ұқсайды. Бірдеңе жазбас бұрын бұл шатасуды жойыңыз, өйткені үш орынның иелері мен журналдары әртүрлі. Оларды өзгеріс жазбасында атау — түзетудің ақаудан бір қабат алыс түсуіне жол бермейтін нәрсе.

Үшеуінің қайсысын ережеңіз басқаруға тиіс екенін жазыңыз. Тыңдаушыны қорғайтын ереже жіберілетін жолды қорғамайды, және екеуінің ешқайсысы клиенттің тікелей маршрутын жаппайды. Әр орынның кімге тиесілі екенін байқаңыз, өйткені көптеген ұйымдарда жауап басқа команда.

Үшінші шарт: IPv6 не істеуі керек

IPv6 туннельден өте ме, қорғаныс қолжетімсіз кезде бұғаттала ма, әлде құжатталған ерекшелікке сүйенеді ме, соны шешіңіз. Әр жауап басқа ереже жиынтығын тудырады, ал сұрақты ашық қалдыру — клиенттің меншікті IPv6-мен туннельдің ішінде IPv4 арқылы жететін межелерге туннельден тыс жетуінің жолы.

Ережелерді жазбас бұрын жауапты дауыстап айтыңыз. IPv6 тасымалдамайтын туннель үшін бұғаттау заңды таңдау, егер ол әдейі және сыналған болса, бос кестенің кездейсоқ нәтижесі болмаса. Құжатталмағанның бәрін келесіде ережелерге қол тигізетін адам қайта шешеді, әдетте асығыс.

ICMPv6 — басқару трафигі

Көршілерді анықтау да, жол кері байланысы да ICMPv6 арқылы жүреді, сондықтан IPv4 әдетінен көшірілген жаппай тастау мекенжайлауды да, үлкен тасымалдауды да бір уақытта бұзады. Жаппай рұқсат та жауап емес, өйткені ол ешкім бақыламайтын арнаны береді.

Маңызды хабарлама түрлері үшін сүзу нұсқаулығын ұстаныңыз, қалғанын себебімен қабылдамаңыз. Ең жиі қате диагностикаланатын ақау — жоғалған Packet Too Big хабарламасы, ол ашылып, кейін тоқтап қалатын қосылым ретінде көрінеді.

Мұны дәлелдеу, бір уақытта бір отбасы

Әр отбасы бойынша рұқсат етілген сұранысты бөлек сынаңыз, содан кейін саясат сеанстан аман өтуі тиіс болса, қайта қосылғаннан кейін қайталаңыз. Тек IPv4 желісіндегі сынақ IPv6 маршрутын іске қоса алмайды, сондықтан сәттілік жаппақ болған ағып кету туралы ештеңе айтпайды. Сынақ жүріп жатқанда есептегіштерді бақылаңыз, өйткені ешқашан сәйкес келмейтін ереже өз түсініктемесінде айтылғанды орындамайды.

Әр әрекетке бір шектелген ережені өзгертіңіз және алдыңғы конфигурацияны қол астында ұстаңыз. Саясат басқарылатын профильге тиесілі болса, жергілікті өңдеуден бұрын оның әкімшісін тартыңыз, өйткені келесі тексеру жергілікті түзетуді қайта жазып, ағуды қайтарады.