Vaše pravilo VPN za IPv4 ne pove ničesar o prometu IPv6

Revizija ugotovi, da je tunel na istem vmesniku tesno filtriran za IPv4 in široko odprt za IPv6. Nič ni bilo napačno konfigurirano v smislu tipkarske napake; nabor pravil je preprosto opisoval eno družino in vsi so domnevali, da ji druga sledi. To se redko zgodi. Trije pogoji odločajo, ali vaše pravilo res pokriva obe, in prvi se tiče platforme, ne politike.

Prvi pogoj: ima platforma eno tabelo ali dve

Nekateri paketni filtri hranijo IPv4 in IPv6 v popolnoma ločenih naborih pravil, zato pravilo, dodano enemu, ne vpliva na drugega, dokler ga nekdo ne podvoji. Drugi ponujajo družino, ki ustreza obema, in prevajajo naslove za vsak paket. Tretja skupina ima en jezik politik, a za njim shranjuje ločene objekte za vsako družino.

Preberite dokumentacijo filtra, ki ga dejansko poganjate, nato naštejte, katere tabele obstajajo in katero je vaša sprememba dotaknila. Štetje pravil v tabeli IPv4 odgovarja na vprašanje, ki ga nihče ni zastavil. Nato naštejte, katere tabele obstajajo in katero je vaša sprememba dotaknila.

Drugi pogoj: kje se politika uporablja

Tri mesta se zamenjujejo med seboj: poslušalec, ki sprejme tunel, pot, ki promet posreduje naprej, in običajni vmesnik, ki ga odjemalec uporablja, ko tunel ne prenaša toka. Prehod lahko sprejme sejo, hkrati pa zavrže vse, kar se iz nje posreduje, in to je videti kot pokvarjen tunel, ne kot filter. Odstranite to zmedo, preden karkoli napišete, ker imajo tri mesta različne lastnike in različne dnevnike. Če jih poimenujete v zapisu spremembe, to prepreči, da bi popravek pristal eno plast stran od napake.

Zapišite, katero od treh naj bi vaše pravilo urejalo. Pravilo, ki ščiti poslušalca, ne ščiti posredovane poti in nobeno od njiju ne zapre neposredne poti odjemalca. Upoštevajte, kdo ima v lasti vsako mesto, ker je odgovor v večini organizacij druga ekipa.

Tretji pogoj: kaj naj bi počel IPv6

Odločite se, ali IPv6 potuje skozi tunel, je blokiran, dokler zaščita ni na voljo, ali sledi dokumentirani izjemi. Vsak odgovor da drugačen nabor pravil, puščanje vprašanja odprtega pa je način, kako odjemalec z izvornim IPv6 doseže cilje zunaj tunela, ki jih doseže znotraj njega prek IPv4.

Izgovorite odgovor na glas, preden napišete pravila. Blokiranje je legitimna izbira za tunel, ki ne prenaša IPv6, če je namerno in preizkušeno, ne pa naključni rezultat prazne tabele. Vse nedokumentirano bo znova odločil tisti, ki se bo naslednji dotaknil pravil, in to običajno v naglici.

ICMPv6 je nadzorni promet

Odkrivanje sosedov in povratna informacija o poti potujeta po ICMPv6, zato vsesplošno zavračanje, prepisano iz navade IPv4, hkrati zlomi naslavljanje in velike prenose. Tudi vsesplošno dovoljenje ni odgovor, ker preda kanal, ki ga nihče ne nadzoruje.

Upoštevajte smernice filtriranja za pomembne vrste sporočil, ostale pa zavrnite z razlogom. Napaka, ki je najpogosteje napačno diagnosticirana, je manjkajoče sporočilo Packet Too Big, ki se pokaže kot povezava, ki se odpre in nato obtiči.

Dokazati to, ena družina naenkrat

Preizkusite pooblaščeno zahtevo po vsaki družini posebej, nato ponovite po ponovni povezavi, če naj bi politika preživela sejo. Preizkus v omrežju samo z IPv4 ne more izvajati poti IPv6, zato uspeh ne pove ničesar o uhajanju, ki ga poskušate zapreti. Opazujte števce med preizkusom, ker pravilo, ki se nikoli ne ujema, ne počne tega, kar trdi njegov komentar.

Spremenite eno omejeno pravilo na poskus in imejte prejšnjo konfiguracijo pri roki. Kjer politiko poseduje upravljani profil, pred lokalnim urejanjem vključite njegovega skrbnika, ker bo naslednje preverjanje prepisalo lokalni popravek in obnovilo uhajanje.