Vaše pravidlo VPN pre IPv4 nehovorí nič o prevádzke IPv6

Audit zistí, že tunel je na tom istom rozhraní pre IPv4 filtrovaný tesne a pre IPv6 úplne otvorený. Nič nebolo nesprávne nakonfigurované v zmysle preklepu; sada pravidiel jednoducho opisovala jednu rodinu a všetci predpokladali, že druhá ju nasleduje. Málokedy to tak je. Tri podmienky rozhodujú, či vaše pravidlo skutočne pokrýva obe, a prvá z nich sa týka platformy, nie zásady.

Podmienka prvá: má platforma jednu tabuľku alebo dve

Niektoré paketové filtre držia IPv4 a IPv6 v úplne oddelených sadách pravidiel, takže pravidlo pridané do jednej nemá vplyv na druhú, kým ho niekto nezduplikuje. Iné ponúkajú rodinu, ktorá zodpovedá obom, a prekladajú adresy pre každý paket. Tretia skupina drží jeden jazyk zásad, ale za ním ukladá samostatné objekty pre každú rodinu.

Prečítajte si dokumentáciu k filtru, ktorý skutočne prevádzkujete, a potom vypíšte, ktoré tabuľky existujú a ktorej sa vaša zmena dotkla. Počítanie pravidiel v tabuľke IPv4 odpovedá na otázku, ktorú nikto nepoložil. Potom vypíšte, ktoré tabuľky existujú a ktorej sa vaša zmena dotkla.

Podmienka druhá: kde sa zásada uplatňuje

Tri miesta sa mýlia jedno s druhým: poslucháč, ktorý prijíma tunel, cesta, ktorá posiela prevádzku ďalej, a bežné rozhranie, ktoré klient používa, keď tunel nenesie tok. Brána môže prijať reláciu a pritom zahadzovať všetko, čo sa z nej posiela ďalej, a to vyzerá ako pokazený tunel, nie ako filter. Odstráňte toto zmätenie, skôr než čokoľvek napíšete, pretože tri miesta majú rôznych vlastníkov a rôzne logy. Pomenovať ich v zázname o zmene je to, čo bráni tomu, aby oprava skončila o vrstvu ďalej od poruchy.

Napíšte, ktorému z troch miest má vaše pravidlo vládnuť. Pravidlo, ktoré chráni poslucháča, nechráni posielanú cestu a ani jedno neuzatvára priamu trasu klienta. Všimnite si, komu každé miesto patrí, pretože odpoveďou je vo väčšine organizácií iný tím.

Podmienka tretia: čo má IPv6 robiť

Rozhodnite, či IPv6 prechádza tunelom, je blokované, kým ochrana nie je dostupná, alebo sa riadi zdokumentovanou výnimkou. Každá odpoveď dáva inú sadu pravidiel a ponechanie otázky otvorenej je spôsob, akým klient s natívnym IPv6 dosahuje ciele mimo tunela, ktoré dosahuje vnútri neho cez IPv4.

Povedzte odpoveď nahlas, skôr než začnete písať pravidlá. Blokovanie je legitímna voľba pre tunel, ktorý nenesie IPv6, pokiaľ je zámerné a otestované a nie náhodným výsledkom prázdnej tabuľky. Všetko nezdokumentované znova rozhodne ten, kto sa nabudúce dotkne pravidiel, a zvyčajne v zhone.

ICMPv6 je riadiaca prevádzka

Objavovanie susedov aj spätná väzba cesty idú po ICMPv6, takže plošné zahadzovanie odpísané zo zvyku pri IPv4 rozbíja adresovanie a veľké prenosy zároveň. Plošné povolenie tiež nie je odpoveďou, pretože odovzdáva kanál, ktorý nikto nesleduje.

Dodržiavajte pokyny na filtrovanie pre dôležité typy správ a ostatné odmietnite s odôvodnením. Porucha, ktorá sa najčastejšie chybne diagnostikuje, je chýbajúca správa Packet Too Big, ktorá sa prejaví ako spojenie, ktoré sa otvorí a potom zasekne.

Dokázať to, jedna rodina po druhej

Otestujte autorizovanú požiadavku cez každú rodinu zvlášť, potom to zopakujte po opätovnom pripojení, ak má zásada prežiť reláciu. Test v sieti iba s IPv4 nemôže precvičiť trasu IPv6, takže úspech nič nehovorí o úniku, ktorý sa snažíte uzavrieť. Sledujte počítadlá počas testu, pretože pravidlo, ktoré nikdy neodpovedá, nerobí to, čo tvrdí jeho komentár.

Meňte jedno ohraničené pravidlo na pokus a majte predchádzajúcu konfiguráciu poruke. Kde zásadu vlastní spravovaný profil, zapojte jeho správcu, skôr než budete editovať lokálne, pretože nasledujúca kontrola prepíše lokálnu opravu a únik vráti.