Peraturan VPN IPv4 anda tidak berkata apa-apa tentang trafik IPv6

Audit mendapati terowong ditapis ketat untuk IPv4 dan terbuka luas untuk IPv6 pada antara muka yang sama. Tiada apa-apa yang salah dikonfigurasi dalam erti kata salah taip; set peraturan hanya menerangkan satu keluarga dan semua orang menganggap yang lain mengikutinya. Ia jarang berlaku. Tiga syarat menentukan sama ada peraturan anda benar-benar meliputi kedua-duanya, dan yang pertama berkaitan platform dan bukan dasar.

Syarat satu: adakah platform mempunyai satu jadual atau dua

Sesetengah penapis paket menyimpan IPv4 dan IPv6 dalam set peraturan yang berasingan sepenuhnya, jadi peraturan yang ditambah pada satu tidak memberi kesan pada yang lain sehingga seseorang menduplikasinya. Yang lain menawarkan keluarga yang sepadan dengan kedua-duanya dan menterjemah alamat bagi setiap paket. Kumpulan ketiga menyimpan satu bahasa dasar tetapi menyimpan objek berasingan bagi setiap keluarga di belakangnya.

Baca dokumentasi penapis yang benar-benar anda jalankan, kemudian senaraikan jadual mana yang wujud dan mana yang disentuh oleh perubahan anda. Mengira peraturan dalam jadual IPv4 menjawab soalan yang tiada siapa tanya. Kemudian senaraikan jadual mana yang wujud dan mana yang disentuh oleh perubahan anda.

Syarat dua: di mana dasar itu digunakan

Tiga tempat keliru antara satu sama lain: pendengar yang menerima terowong, laluan yang memajukan trafik, dan antara muka biasa yang klien gunakan apabila terowong tidak membawa aliran. Gerbang boleh menerima sesi sambil menggugurkan semua yang dimajukan daripadanya, dan itu kelihatan seperti terowong rosak dan bukan penapis. Buang kekeliruan itu sebelum menulis apa-apa, kerana ketiga-tiga tempat mempunyai pemilik dan log yang berbeza. Menamakannya dalam rekod perubahan itulah yang menghalang pembaikan daripada mendarat satu lapisan jauh dari kerosakan.

Tuliskan yang mana antara tiga itu peraturan anda bertujuan mengawal. Peraturan yang melindungi pendengar tidak melindungi laluan yang dimajukan, dan tiada satu pun menutup laluan langsung klien. Perhatikan siapa memiliki setiap tempat, kerana jawapannya ialah pasukan berbeza dalam kebanyakan organisasi.

Syarat tiga: apakah yang harus IPv6 lakukan

Putuskan sama ada IPv6 melalui terowong, disekat semasa perlindungan tidak tersedia, atau mengikut pengecualian yang didokumenkan. Setiap jawapan menghasilkan set peraturan yang berbeza, dan membiarkan soalan terbuka ialah cara klien dengan IPv6 asli sampai ke destinasi di luar terowong yang ia sampai di dalamnya melalui IPv4.

Sebut jawapannya dengan lantang sebelum menulis peraturan. Menyekat ialah pilihan sah untuk terowong yang tidak membawa IPv6, asalkan ia disengajakan dan diuji dan bukan hasil tidak sengaja daripada jadual kosong. Apa-apa yang tidak didokumenkan akan diputuskan semula oleh sesiapa yang menyentuh peraturan seterusnya, dan biasanya tergesa-gesa.

ICMPv6 ialah trafik kawalan

Penemuan jiran dan maklum balas laluan kedua-duanya melalui ICMPv6, jadi pengguguran menyeluruh yang disalin daripada tabiat IPv4 memecahkan pengalamatan dan pemindahan besar pada masa yang sama. Keizinan menyeluruh juga bukan jawapannya, kerana ia menyerahkan saluran yang tiada siapa memantaunya.

Ikuti panduan penapisan untuk jenis mesej yang penting dan tolak selebihnya dengan sebab. Kegagalan yang paling kerap salah didiagnosis ialah mesej Packet Too Big yang hilang, yang muncul sebagai sambungan yang terbuka dan kemudian tersekat.

Membuktikannya, satu keluarga pada satu masa

Uji permintaan yang dibenarkan pada setiap keluarga secara berasingan, kemudian ulangi selepas menyambung semula jika dasar itu sepatutnya bertahan melepasi sesi. Ujian pada rangkaian hanya IPv4 tidak boleh menjalankan laluan IPv6, jadi kelulusan tidak memberitahu apa-apa tentang kebocoran yang anda cuba tutup. Perhatikan pembilang semasa ujian berjalan, kerana peraturan yang tidak pernah sepadan tidak melakukan apa yang didakwa oleh komennya.

Tukar satu peraturan berskop setiap percubaan dan simpan konfigurasi sebelumnya di tangan. Di tempat profil terurus memiliki dasar itu, libatkan pentadbirnya sebelum menyunting secara setempat, kerana daftar masuk seterusnya akan menimpa pembaikan setempat dan memulihkan kebocoran.