د بندولو سویچ یوازې IPv4 بندوي: ولې IPv6 لا هم وتلې

تونل لوېږي، د بندولو سویچ راپور ورکوي چې فعال شو، او ډاونلوډ روان پاتې کېږي۔ د IPv4 په قواعدو کې هیڅ خراب نه دی۔ اپلیکیشن یوازې هغه لار ته واوښت چې دغه قواعد هیڅکله د هغې لپاره نه وو لیکل شوي۔

دوه ګوني سټیک وسایل د وتلو دوه خپلواکې لارې لري۔ په یوه یې بندول نیم بندول دي۔

دوه قواعد ټولګې، دوه پیش فرض

په Linux کې، iptables او ip6tables جلا پالیسیو سره جلا جدولونه دي۔ د IPv4 جدول INPUT او OUTPUT ځنځیرونه DROP ته ټاکل په IPv6 جدول کې هیڅ نه بدلوي، چېرې چې پیش فرض معمولاً ACCEPT وي۔ همدا وېش په nftables کې هم شته، چېرې چې تاسو یوه کورنۍ کتلی شئ او موندلی شئ چې یوازې یوه یې ستاسو قواعد لري۔ دا نابرابري نورماله ده، او ټول مشکل همدا دی۔

نو ځکه د بندولو سویچ بشپړ ښکارېدلی شي او په جزوي توګه عمل کولی شي۔ هغه سکریپټ چې د IPv4 قواعد یې لیکلي وو، وچلېده، شمېرونکي زیاتېږي، د لاګ کرښه ښکاري، او یو IPv6 پیکټ فزیکي انټرفیس څخه په بشپړه توګه ناټکي وتلې۔

وارکړئ چې ستاسو کلاینټ واقعاً څه نصبوي، نه هغه څه چې د بازارموندنې پاڼه یې ژمنه کوي۔ ځینې کلاینټونه IPv6 تونل ته لیږدوي، ځینې یې په قصد بندوي، او ځینې یې پرېږدي پداسې حال کې چې د پلیټفارم کچې لاک ډاون بله قاعده پلي کوي۔ دلته د پلورونکي مستندات یوازینی د باور وړ سرچینه ده۔

د انټرفیس تنظیمات تاسو ته څه وایي

د wg-quick لارښود پاڼه په خپل بېلګې تنظیماتو کې IPv6 قواعد لري، او دلیل یې همدا تشه ده۔ بېلګه ښکلا نه ده۔ دا شته ځکه چې یوازې IPv4 قواعد به دوهمه کورنۍ پرانیستې پرېښودله۔

د بېلګې نیمه کاپي کول د پالیسۍ نیمه جوړوي۔ دا د دې تېکېدو ترټولو عامه سرچینه ده۔ یو بلاګ پوسټ بېلګه د اوږدوالي له امله لنډه کړه۔ بیا لنډه نسخه هغه ټیمپلیټ شو چې هر چا بیا کارولی۔

# what is actually installed, per family?
sudo iptables -S OUTPUT | head -20
sudo ip6tables -S OUTPUT | head -20

# nftables: inspect each family separately
sudo nft list ruleset inet | head -40

# does this host even have a usable IPv6 path?
ip -6 route show default

که دوهم کمانډ د اجازې پالیسي چاپ کړي او لومړی DROP چاپ کړي، نو تاسو کلاینټ ته د لاس وهلو پرته ځواب موندلی۔ همدا نابرابري بګ ده۔

ولې یوه پلټنه ټوله کیسه نه ده

یو نوم کولی شي A ریکارډ او AAAA ریکارډ دواړه بیرته راوړي، او ټول اپلیکیشنونه یوه طریقه نه ټاکي۔ کله چې شبکه IPv6 وړاندې کړي، براوزر کولی شي هغه ته لومړیتوب ورکړي او د ناکامۍ په صورت کې شاتګ وکړي، پداسې حال کې چې شالید سینک یا اپډیټر خپل حل کوونکی او خپل لومړیتوب کاروي۔ نو ځکه په IPv4 باندې یو بریالی ازموینه یوه لار ثابتوي، نه پالیسي۔

د شبکې بدلونونه هم ځواب بدلوي۔ بل Wi-Fi شبکې ته ننوتل، له خوبه پاڅېدل یا موبایل ته اوښتل کولی شي وسیلې ته نوی IPv6 مخکښ ورکړي، او هغه پالیسي چې په دفتر LAN کې کافي ښکارېده ممکن هغه ونه پوښي۔

هغه حالت وازموئ چې تونل بند وي

د وصل په حالت کې ازموینه تاسو ته وایي چې تونل کار کوي۔ په زړه پوري ازموینه د نه شتون حالت دی، ځکه هغه وخت د بندولو سویچ باید ودرېږي۔ تونل په قصد ودروئ، بیا هغه منزلونه وازموئ چې تاسو یې ساتنه کوئ له اپلیکیشن څخه۔

# with the tunnel stopped, does anything still leave?
ip -6 route get 2606:4700:4700::1111
curl -6 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv6.example.net/
curl -4 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv4.example.net/

دواړه کورنۍ باید بندې ناکامې شي۔ که IPv4 غوښتنه وخت پای ته ورسوي او IPv6 غوښتنه د حالت کوډ بیرته راوړي، پالیسي نیمګړې ده، او څومره ځله چې تونل بیا وازموئ هغه به بدل نه شي۔

په هغه ازموینه کې مستند استثناءات هم وساتئ۔ د محلي شبکې کشف، د DHCP نوي کول یا د VPN پای ټکي ته د بوټ سټرپ لاره کولی شي اړتیا ولري چې د لاسرسي وړ پاتې شي، او هغه استثناءات باید په پالیسي کې نومول شوي وي، نه د یوې خنډ په جریان کې کشف شي۔ د لیک ازموینه چې ناکامه کېږي ځکه تونل نشي کولی بیرته راپورته شي، د امنیت موندنه نه ده، دا د اتصال موندنه ده۔