Вашето IPv4 VPN правило не кажува ништо за IPv6 сообраќајот

Ревизијата открива дека тунелот на истиот интерфејс е цврсто филтриран за IPv4 и широко отворен за IPv6. Ништо не било погрешно конфигурирано во смисла на печатна грешка; множеството правила едноставно опишуваше една фамилија и сите претпоставуваа дека другата ја следи. Тоа ретко се случува. Три услови одлучуваат дали вашето правило навистина ги покрива двете, а првиот се однесува на платформата, а не на политиката.

Услов прв: има ли платформата една табела или две

Некои пакетни филтри ги држат IPv4 и IPv6 во целосно одделни множества правила, така што правило додадено на едното нема ефект врз другото додека некој не го дуплира. Други нудат фамилија што одговара на двете и ги преведува адресите по пакет. Трета група држи еден јазик на политика, но зад него чува одделни објекти по фамилија.

Прочитајте ја документацијата за филтерот што навистина го извршувате, потоа наведете кои табели постојат и која ја допре вашата промена. Броењето правила во табелата IPv4 одговара на прашање што никој не го поставил. Потоа наведете кои табели постојат и која ја допре вашата промена.

Услов втор: каде се применува политиката

Три места се мешаат едно со друго: слушателот што го прифаќа тунелот, патеката што го препраќа сообраќајот понатаму и обичниот интерфејс што клиентот го користи кога тунелот не носи тек. Портал може да прифати сесија додека го отфрла сето она што се препраќа од неа, и тоа изгледа како расипан тунел, а не како филтер. Отстранете ја таа забуна пред да напишете нешто, бидејќи трите места имаат различни сопственици и различни дневници. Нивното именување во записот за промена е она што спречува поправката да слета еден слој подалеку од дефектот.

Запишете кое од трите места треба да го управува вашето правило. Правилото што го штити слушателот не ја штити препратената патека и ниту едно од двете не ја затвора директната рута на клиентот. Забележете кому му припаѓа секое место, бидејќи одговорот во повеќето организации е друг тим.

Услов трет: што треба да прави IPv6

Одлучете дали IPv6 поминува низ тунелот, се блокира додека заштитата не е достапна или следи документиран исклучок. Секој одговор дава различно множество правила, а оставањето на прашањето отворено е начинот на кој клиент со вроден IPv6 стигнува до одредишта надвор од тунелот што ги стигнува внатре во него преку IPv4.

Кажете го одговорот гласно пред да пишувате правила. Блокирањето е легитимен избор за тунел што не носи IPv6, додека е намерно и тестирано, а не случаен резултат од празна табела. Сето недокументирано ќе биде одново одлучено од оној што следен ќе ги допре правилата, и обично набрзина.

ICMPv6 е контролен сообраќај

Откривањето соседи и повратната информација за патеката двете се возат на ICMPv6, па сеопфатното отфрлање препишано од навика на IPv4 го крши адресирањето и големите преноси истовремено. Сеопфатното дозволување исто така не е одговор, бидејќи предава канал што никој не го набљудува.

Следете ги упатствата за филтрирање за важните типови пораки и одбијте ги останатите со причина. Дефектот што најчесто се дијагностицира погрешно е отсутната порака Packet Too Big, која се појавува како врска што се отвора и потоа заглавува.

Да се докаже, една фамилија по пат

Тестирајте овластено барање преку секоја фамилија одделно, потоа повторете по повторно поврзување ако политиката треба да ја преживее сесијата. Тест на мрежа само со IPv4 не може да изврши IPv6 рута, па успехот не кажува ништо за истекувањето што се обидувате да го затворите. Гледајте ги бројачите додека тестот работи, бидејќи правило што никогаш не одговара не го прави тоа што го тврди неговиот коментар.

Менувајте едно ограничено правило по обид и држете ја претходната конфигурација при рака. Онаму каде политиката ја поседува управуван профил, вклучете го неговиот администратор пред локално уредување, бидејќи следната проверка ќе ја препише локалната поправка и ќе го врати истекувањето.