Regula dvs. VPN pentru IPv4 nu spune nimic despre traficul IPv6

Un audit constată că tunelul este filtrat strict pentru IPv4 și complet deschis pentru IPv6 pe aceeași interfață. Nimic nu a fost configurat greșit în sensul unei greșeli de tipar; setul de reguli descria pur și simplu o familie, iar toată lumea a presupus că cealaltă o urmează. Rar o face. Trei condiții decid dacă regula dumneavoastră acoperă într-adevăr ambele, iar prima privește platforma, nu politica.

Prima condiție: platforma are un singur tabel sau două

Unele filtre de pachete țin IPv4 și IPv6 în seturi de reguli complet separate, așa că o regulă adăugată la unul nu are efect asupra celuilalt până când cineva o duplică. Altele oferă o familie care se potrivește ambelor și traduc adresele pentru fiecare pachet. Un al treilea grup ține un singur limbaj de politică, dar păstrează în spate obiecte separate pentru fiecare familie.

Citiți documentația filtrului pe care îl rulați efectiv, apoi enumerați ce tabele există și pe care a atins-o modificarea dvs. Numărarea regulilor din tabelul IPv4 răspunde la o întrebare pe care nimeni nu a pus-o. Apoi enumerați ce tabele există și pe care a atins-o modificarea dvs.

A doua condiție: unde se aplică politica

Trei locuri se confundă între ele: ascultătorul care acceptă tunelul, calea care transmite mai departe traficul și interfața obișnuită pe care clientul o folosește când tunelul nu transportă un flux. O poartă poate accepta o sesiune aruncând tot ce este transmis mai departe din ea, iar acest lucru arată ca un tunel stricat, nu ca un filtru. Eliminați această confuzie înainte de a scrie ceva, pentru că cele trei locuri au proprietari și jurnale diferite. Numirea lor în registrul de modificări este ceea ce împiedică o corecție să ajungă un strat mai departe de defect.

Notați care dintre cele trei locuri ar trebui guvernat de regula dvs. O regulă care protejează ascultătorul nu protejează calea transmisă, iar niciuna nu închide ruta directă a clientului. Observați cui aparține fiecare loc, pentru că răspunsul în majoritatea organizațiilor este o altă echipă.

A treia condiție: ce ar trebui să facă IPv6

Decideți dacă IPv6 călătorește prin tunel, este blocat cât timp protecția nu este disponibilă sau urmează o excepție documentată. Fiecare răspuns produce un set de reguli diferit, iar lăsarea întrebării deschise este modul în care un client cu IPv6 nativ ajunge la destinații din afara tunelului la care ajunge în interiorul lui prin IPv4.

Spuneți răspunsul cu voce tare înainte de a scrie reguli. Blocarea este o alegere legitimă pentru un tunel care nu transportă IPv6, atâta timp cât este deliberată și testată și nu rezultatul accidental al unui tabel gol. Orice lucru nedocumentat va fi decis din nou de cel care atinge regulile data viitoare, și de obicei în grabă.

ICMPv6 este trafic de control

Descoperirea vecinilor și feedbackul de cale merg ambele pe ICMPv6, așa că o aruncare generală copiată dintr-un obicei IPv4 rupe adresarea și transferurile mari în același timp. Nici o permisiune generală nu este răspunsul, pentru că predau un canal pe care nimeni nu îl supraveghează.

Urmați îndrumările de filtrare pentru tipurile de mesaje care contează și respingeți restul cu un motiv. Defecțiunea cel mai des diagnosticată greșit este un mesaj Packet Too Big lipsă, care se manifestă ca o conexiune care se deschide și apoi se blochează.

A demonstra asta, o familie pe rând

Testați o cerere autorizată pe fiecare familie separat, apoi repetați după reconectare dacă politica ar trebui să supraviețuiască sesiunii. Un test pe o rețea doar IPv4 nu poate exersa o rută IPv6, așa că trecerea nu spune nimic despre scurgerea pe care încercați să o închideți. Urmăriți contoarele în timpul testului, pentru că o regulă care nu se potrivește niciodată nu face ceea ce susține comentariul ei.

Schimbați o singură regulă limitată pe încercare și păstrați configurația anterioară la îndemână. Acolo unde un profil gestionat deține politica, implicați administratorul acestuia înainte de a edita local, pentru că următoarea verificare va suprascrie o corecție locală și va restabili scurgerea.