Jūsu IPv4 VPN noteikums neko nepasaka par IPv6 datu plūsmu

Audits atklāj, ka tajā pašā saskarnē tunelis ir stingri filtrēts IPv4 un plaši atvērts IPv6. Nekas nebija nepareizi konfigurēts drukas kļūdas nozīmē; noteikumu kopums vienkārši aprakstīja vienu saimi, un visi pieņēma, ka otra tam seko. Tas notiek reti. Trīs nosacījumi nosaka, vai jūsu noteikums patiešām aptver abas, un pirmais attiecas uz platformu, nevis uz politiku.

Pirmais nosacījums: vai platformai ir viena tabula vai divas

Daži pakešu filtri glabā IPv4 un IPv6 pilnīgi atsevišķos noteikumu kopumos, tāpēc vienam pievienotais noteikums neietekmē otru, kamēr kāds to nedublē. Citi piedāvā saimi, kas atbilst abiem, un pārtulko adreses katram paketei. Trešā grupa glabā vienu politikas valodu, bet aiz tās uzglabā atsevišķus objektus katrai saimei.

Izlasiet tā filtra dokumentāciju, kuru faktiski darbināt, pēc tam uzskaitiet, kuras tabulas pastāv un kuru skāra jūsu izmaiņa. Noteikumu skaitīšana IPv4 tabulā atbild uz jautājumu, kuru neviens neuzdeva. Pēc tam uzskaitiet, kuras tabulas pastāv un kuru skāra jūsu izmaiņa.

Otrais nosacījums: kur politika tiek piemērota

Trīs vietas tiek sajauktas savā starpā: klausītājs, kas pieņem tuneli, ceļš, kas pārsūta satiksmi tālāk, un parastā saskarne, ko klients izmanto, kad tunelis nenes plūsmu. Vārteja var pieņemt sesiju, vienlaikus izmetot visu, kas no tās tiek pārsūtīts, un tas izskatās kā salauzts tunelis, nevis filtrs. Novērsiet šo sajukumu pirms kaut kā rakstīšanas, jo trim vietām ir dažādi īpašnieki un dažādi žurnāli. To nosaukšana izmaiņu ierakstā ir tas, kas neļauj labojumam nonākt vienu slāni tālāk no kļūdas.

Pierakstiet, kuru no trim vietām jūsu noteikumam jāpārvalda. Noteikums, kas aizsargā klausītāju, neaizsargā pārsūtīto ceļu, un neviens no tiem neaizver klienta tiešo maršrutu. Ievērojiet, kam pieder katra vieta, jo atbilde lielākajā daļā organizāciju ir cita komanda.

Trešais nosacījums: kas IPv6 jādara

Izlemiet, vai IPv6 iet caur tuneli, tiek bloķēts, kamēr aizsardzība nav pieejama, vai seko dokumentētam izņēmumam. Katra atbilde dod citu noteikumu kopumu, un jautājuma atstāšana atvērtu ir tas, kā klients ar vietējo IPv6 nokļūst galamērķos ārpus tuneļa, kuros tas nokļūst tā iekšienē pa IPv4.

Sakiet atbildi skaļi pirms noteikumu rakstīšanas. Bloķēšana ir likumīga izvēle tunelim, kas nenes IPv6, ja vien tā ir apzināta un pārbaudīta, nevis tukšas tabulas nejaušs rezultāts. Viss nedokumentētais tiks izlemts no jauna tam, kurš nākamreiz aizskars noteikumus, un parasti steigā.

ICMPv6 ir vadības satiksme

Kaimiņu atklāšana un ceļa atgriezeniskā saite abas brauc pa ICMPv6, tāpēc visaptveroša nomešana, kas nokopēta no IPv4 ieraduma, vienlaikus lauž adresāciju un lielus pārnesumus. Visaptveroša atļauja arī nav atbilde, jo tā nodod kanālu, kuru neviens neuzrauga.

Ievērojiet filtrēšanas norādes svarīgajiem ziņojumu tipiem un noraidiet pārējos ar pamatojumu. Bojājums, kas visbiežāk tiek diagnosticēts nepareizi, ir trūkstošais Packet Too Big ziņojums, kas izpaužas kā savienojums, kurš atveras un pēc tam iestrēgst.

To pierādīt, pa vienai saimei

Pārbaudiet atļautu pieprasījumu pa katrai saimei atsevišķi, tad atkārtojiet pēc atkārtotas savienošanas, ja politikai jāiztur sesija. Pārbaude tīklā tikai ar IPv4 nevar izpildīt IPv6 maršrutu, tāpēc izturēšana neko nepasaka par noplūdi, kuru mēģināt aizvērt. Vērojiet skaitītājus pārbaudes laikā, jo noteikums, kas nekad nesakrīt, nedara to, ko apgalvo tā komentārs.

Mainiet vienu ierobežotu noteikumu katrā mēģinājumā un turiet iepriekšējo konfigurāciju pa rokai. Kur politiku pārvalda pārvaldīts profils, pirms lokālas rediģēšanas iesaistiet tā administratoru, jo nākamā pārbaude pārrakstīs lokālu labojumu un atjaunos noplūdi.