Jūsų IPv4 VPN taisyklė nieko nesako apie IPv6 srautą

Auditas nustato, kad tame pačiame sąsajoje tunelis griežtai filtruojamas IPv4 ir visiškai atviras IPv6. Niekas nebuvo sukonfigūruota neteisingai rašybos klaidos prasme; taisyklių rinkinys tiesiog aprašė vieną šeimą, ir visi manė, kad kita jos laikosi. Taip būna retai. Tris sąlygos lemia, ar jūsų taisyklė iš tikrųjų apima abi, o pirmoji susijusi su platforma, o ne su politika.

Pirma sąlyga: ar platforma turi vieną lentelę, ar dvi

Kai kurie paketų filtrai laiko IPv4 ir IPv6 visiškai atskiruose taisyklių rinkiniuose, todėl į vieną įtraukta taisyklė neturi poveikio kitam, kol kas nors jos nepadubliuoja. Kiti siūlo šeimą, kuri tinka abiem, ir išverčia adresus kiekvienam paketui. Trečioji grupė laiko vieną politikos kalbą, bet už jos saugo atskirus objektus kiekvienai šeimai.

Perskaitykite filtro, kurį iš tikrųjų naudojate, dokumentaciją, tada išvardykite, kokios lentelės egzistuoja ir kurią palietė jūsų pakeitimas. Taisyklių skaičiavimas IPv4 lentelėje atsako į klausimą, kurio niekas neuždavė. Tada išvardykite, kokios lentelės egzistuoja ir kurią palietė jūsų pakeitimas.

Antra sąlyga: kur taikoma politika

Trys vietos painiojamos tarpusavyje: klausytojas, kuris priima tunelį, kelias, kuris persiunčia srautą toliau, ir įprasta sąsaja, kurią klientas naudoja, kai tunelis neperduoda srauto. Šliuzas gali priimti sesiją ir tuo pačiu mesti viską, kas iš jos persiunčiama, ir tai atrodo kaip sugedęs tunelis, o ne filtras. Pašalinkite tą painiavą prieš ką nors rašydami, nes trys vietos turi skirtingus savininkus ir skirtingus žurnalus. Jų įvardijimas pakeitimo įraše yra tai, kas neleidžia pataisymui nusileisti vienu sluoksniu toliau nuo gedimo.

Užrašykite, kurią iš trijų vietų jūsų taisyklė turi valdyti. Taisyklė, kuri saugo klausytoją, nesaugo persiunčiamo kelio, ir nė viena jų neuždaro tiesioginio kliento maršruto. Atkreipkite dėmesį, kam priklauso kiekviena vieta, nes atsakymas daugumoje organizacijų yra kita komanda.

Trečia sąlyga: ką turėtų daryti IPv6

Nuspręskite, ar IPv6 eina per tunelį, ar blokuojamas, kol apsauga nepasiekiama, ar laikosi dokumentuotos išimties. Kiekvienas atsakymas duoda skirtingą taisyklių rinkinį, o klausimą palikus atvirą klientas su savu IPv6 pasiekia paskirties vietas už tunelio, kurias pasiekia jo viduje per IPv4.

Pasakykite atsakymą garsiai prieš rašydami taisykles. Blokavimas yra teisėtas pasirinkimas tuneliui, kuris neperduoda IPv6, jei tai sąmoninga ir išbandyta, o ne atsitiktinis tuščios lentelės rezultatas. Viskas nedokumentuota bus iš naujo nuspręsta to, kuris kitas palies taisykles, ir paprastai skubant.

ICMPv6 yra valdymo srautas

Kaimynų aptikimas ir kelio grįžtamasis ryšys abu važiuoja per ICMPv6, todėl bendras numetimas, nukopijuotas iš IPv4 įpročio, tuo pačiu metu sugriauna adresavimą ir didelius perdavimus. Bendras leidimas taip pat nėra atsakymas, nes jis perduoda kanalą, kurio niekas neprižiūri.

Vadovaukitės filtravimo gairėmis svarbiems pranešimų tipams ir atmeskite likusius su priežastimi. Gedimas, kuris dažniausiai diagnozuojamas neteisingai, yra trūkstamas Packet Too Big pranešimas, pasireiškiantis kaip ryšys, kuris atsiveria ir tada užstringa.

Įrodyti tai, po vieną šeimą

Išbandykite leistą užklausą per kiekvieną šeimą atskirai, tada pakartokite po prisijungimo iš naujo, jei politika turi išgyventi sesiją. Bandymas tinkle tik su IPv4 negali atlikti IPv6 maršruto, todėl sėkmė nieko nepasako apie nutekėjimą, kurį bandote uždaryti. Stebėkite skaitiklius bandymo metu, nes taisyklė, kuri niekada nesutampa, nedaro to, ką teigia jos komentaras.

Keiskite vieną apribotą taisyklę per bandymą ir turėkite ankstesnę konfigūraciją po ranka. Kai politiką valdo valdomas profilis, prieš redaguodami vietoje įtraukite jo administratorių, nes kitas patikrinimas perrašys vietinį pataisymą ir atkurs nutekėjimą.