Is-swiċċ tal-emerġenza jimblokka biss l-IPv4: għaliex l-IPv6 xorta joħroġ

Sett ta’ regoli tal-firewall għall-IPv4 ma jgħid xejn dwar l-IPv6. Fuq apparat b’żewġ stekki, it-tunnel jista’ jaqa’ waqt li app iżżomm triq li taħdem madwaru.

It-tunnel jaqa’, is-swiċċ tal-emerġenza jirrapporta li daħal f’azzjoni, u tniżżila tkompli għaddejja. Xejn mhu miksur fir-regoli tal-IPv4. L-app sempliċement marret għal triq li għaliha dawk ir-regoli qatt ma nkitbu.

L-apparati b’żewġ stekki għandhom żewġ toroq indipendenti ’l barra. Blokk fuq waħda minnhom huwa nofs blokk.

Żewġ settijiet ta’ regoli, żewġ valuri prestabbiliti

Fuq Linux, iptables u ip6tables huma tabelli separati b’politiki separati. Issettjar tal-katini INPUT u OUTPUT tat-tabella IPv4 għal DROP ma jbiddel xejn fit-tabella IPv6, fejn il-valur prestabbilit huwa normalment ACCEPT. L-istess qsim jeżisti f’nftables, fejn tista’ tispezzjona familja waħda u ssib li waħda biss minnhom iġġorr ir-regoli tiegħek. Din l-asimmetrija hija normali, u hija l-problema kollha.

Għalhekk swiċċ tal-emerġenza jista’ jidher bir-reqqa u jaġixxi b’mod parzjali. L-iskritt li kiteb ir-regoli tal-IPv4 tħaddem, il-kontaturi jogħlew, il-linja tal-log tidher, u pakkett IPv6 joħroġ mill-interface fiżika kompletament intatt.

Aqra x’installa fil-fatt il-klijent tiegħek, mhux x’jiggarantixxi l-paġna tal-marketing. Xi klijenti jirrotaw l-IPv6 fit-tunnel, oħrajn jimblukkawh b’deliberazzjoni, u oħrajn iħalluh kif inhu waqt li qfil fil-livell tal-pjattaforma japplika regola oħra. Id-dokumentazzjoni tal-fornitur hija l-unika sors li jistħoqqlu fiduċja hawn.

X’jgħidlek il-konfigurazzjoni tal-interface

Il-paġna tal-manwal ta’ wg-quick tinkludi regoli IPv6 fil-konfigurazzjoni ta’ eżempju tagħha, u r-raġuni hija eżattament dan il-vojt. L-eżempju mhuwiex dekorazzjoni. Jeżisti għax ir-regoli tal-IPv4 biss iħallu t-tieni familja miftuħa.

Kopja ta’ nofs eżempju tipproduċi nofs politika. Dan huwa l-aktar oriġini komuni ta’ dan it-tnixxija. Post fuq blog qassar l-eżempju minħabba t-tul. Il-verżjoni mqassra mbagħad saret il-mudell li kulħadd uża mill-ġdid.

# what is actually installed, per family?
sudo iptables -S OUTPUT | head -20
sudo ip6tables -S OUTPUT | head -20

# nftables: inspect each family separately
sudo nft list ruleset inet | head -40

# does this host even have a usable IPv6 path?
ip -6 route show default

Jekk it-tieni kmand jipprintja politika permissiva waqt li l-ewwel jipprintja DROP, sibt it-tweġiba mingħajr ma mess il-klijent. Dik l-asimmetrija hija l-bug.

Għaliex tfittxija waħda mhijiex l-istorja kollha

Isem wieħed jista’ jirritorna kemm rekord A kif ukoll rekord AAAA, u l-applikazzjonijiet mhux kollha jagħżlu bl-istess mod. Il-browser jista’ jippreferi l-IPv6 meta n-netwerk joffrih u jaqa’ lura meta jfalli, waqt li sinkronizzazzjoni fl-isfond jew aġġornatur juża r-resolver tiegħu u l-preferenza tiegħu stess. Għalhekk test wieħed li jirnexxi fuq l-IPv4 jipprova triq waħda, mhux il-politika.

It-tranżizzjonijiet tan-netwerk ibiddlu t-tweġiba wkoll. Jissieħbu ma’ netwerk Wi-Fi ieħor, tqum mill-irqad jew taqleb għal ċellulari jistgħu jagħtu lill-apparat prefiss IPv6 ġdid, u l-politika li kienet tidher biżżejjed fil-LAN tal-uffiċċju tista’ ma tkoprihx.

Ittestja l-istat meta t-tunnel ikun mitfi

L-ittestjar waqt li tkun konness jgħidlek li t-tunnel jaħdem. It-test interessanti huwa l-istat mhux disponibbli, għax dakinhar is-swiċċ tal-emerġenza suppost iżomm. Waqqaf it-tunnel apposta, imbagħad ipprova d-destinazzjonijiet importanti mill-app li tkun qed tipproteġi.

# with the tunnel stopped, does anything still leave?
ip -6 route get 2606:4700:4700::1111
curl -6 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv6.example.net/
curl -4 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv4.example.net/

Iż-żewġ familji għandhom ifallu magħluqa. Jekk it-talba IPv4 tiskadi u t-talba IPv6 tirritorna kodiċi tal-istat, il-politika mhijiex kompluta, u l-ebda ammont ta’ test mill-ġdid tat-tunnel mhu se jbiddel dan.

Żomm l-eċċezzjonijiet dokumentati f’dak it-test ukoll. Is-sejba tan-netwerk lokali, tiġdid DHCP jew it-triq tal-boot sal-punt tat-tmiem tal-VPN jistgħu jkollhom bżonn jibqgħu aċċessibbli, u dawk l-eċċezzjonijiet għandhom jissemmew fil-politika minflok ma jiġu skoperti waqt interruzzjoni. Test ta’ tnixxija li jfalli għax it-tunnel ma jistax jerġa’ jitla’ mhuwiex sejba ta’ sigurtà, hija sejba ta’ konnettività.

Artikli relatati