Rregulli juaj i VPN për IPv4 nuk thotë asgjë për trafikun IPv6

Një auditim zbulon se tuneli është filtruar rreptësisht për IPv4 dhe plotësisht i hapur për IPv6 në të njëjtën ndërfaqe. Asgjë nuk ishte konfiguruar gabimisht në kuptimin e një gabimi shtypi; grupi i rregullave thjesht përshkruante një familje dhe të gjithë supozuan se tjetra e ndjek. Rrallë e bën. Tre kushte vendosin nëse rregulli juaj mbulon vërtet të dyja, dhe i pari ka të bëjë me platformën, jo me politikën.

Kushti i parë: a ka platforma një tabelë apo dy

Disa filtra paketash i mbajnë IPv4 dhe IPv6 në grupe rregullash plotësisht të ndara, kështu që një rregull i shtuar në njërin nuk ka efekt në tjetrin derisa dikush ta dublojë. Të tjerët ofrojnë një familje që përputhet me të dyja dhe përkthen adresat për çdo paketë. Një grup i tretë mban një gjuhë të vetme politike, por ruan pas saj objekte të veçanta për çdo familje.

Lexoni dokumentacionin e filtrit që ekzekutoni vërtet, më pas renditni cilat tabela ekzistojnë dhe cilën preku ndryshimi juaj. Numërimi i rregullave në tabelën IPv4 i përgjigjet një pyetjeje që askush nuk e bëri. Më pas renditni cilat tabela ekzistojnë dhe cilën preku ndryshimi juaj.

Kushti i dytë: ku zbatohet politika

Tre vende ngatërrohen me njëri-tjetrin: dëgjuesi që pranon tunelin, rruga që përçon trafikun dhe ndërfaqja e zakonshme që klienti përdor kur tuneli nuk mbart flukse. Një portë mund të pranojë një sesion duke hedhur poshtë gjithçka që përçohet prej tij, dhe kjo duket si tunel i prishur dhe jo si filtër. Hiqni këtë ngatërrim përpara se të shkruani gjë, sepse tre vendet kanë pronarë dhe regjistra të ndryshëm. Emërtimi i tyre në regjistrin e ndryshimeve është ai që pengon një rregullim të ulet një shtresë larg defektit.

Shkruani cilin prej tre vendeve rregulli juaj synon të qeverisë. Një rregull që mbron dëgjuesin nuk mbron rrugën e përçuar, dhe asnjëra nuk mbyll rrugën e drejtpërdrejtë të klientit. Vini re kujt i përket çdo vend, sepse përgjigjja në shumicën e organizatave është një ekip tjetër.

Kushti i tretë: çfarë duhet të bëjë IPv6

Vendosni nëse IPv6 kalon nëpër tunel, bllokohet ndërsa mbrojtja nuk është e disponueshme, ose ndjek një përjashtim të dokumentuar. Çdo përgjigje prodhon një grup rregullash të ndryshëm, dhe lënia e pyetjes hapur është mënyra se si një klient me IPv6 amtare arrin në destinacione jashtë tunelit që i arrin brenda tij përmes IPv4.

Thoni përgjigjen me zë të lartë përpara se të shkruani rregulla. Bllokimi është një zgjedhje legjitime për një tunel që nuk mbart IPv6, për sa kohë është i qëllimshëm dhe i testuar dhe jo rezultati aksidental i një tabele bosh. Çdo gjë e padokumentuar do të vendoset përsëri nga ai që prek rregullat herën tjetër, dhe zakonisht me nxitim.

ICMPv6 është trafik kontrolli

Zbulimi i fqinjëve dhe reagimi i rrugës udhëtojnë të dy mbi ICMPv6, kështu që një hedhje e përgjithshme e kopjuar nga një zakon IPv4 thyen adresimin dhe transferimet e mëdha në të njëjtën kohë. As lejimi i përgjithshëm nuk është përgjigjja, sepse dorëzon një kanal që askush nuk po e vëzhgon.

Ndiqni udhëzimet e filtrimit për llojet e mesazheve që kanë rëndësi dhe refuzoni pjesën tjetër me një arsye. Dështimi që diagnostikohet gabimisht më shpesh është një mesazh Packet Too Big që mungon, i cili shfaqet si një lidhje që hapet dhe pastaj ngec.

Ta provosh atë, një familje në një kohë

Testoni një kërkesë të autorizuar në secilën familje veçmas, pastaj përsëriteni pas një rilidhjeje nëse politika supozohet të mbijetojë sesionin. Një test në një rrjet vetëm IPv4 nuk mund të ushtrojë një rrugë IPv6, kështu që kalimi nuk thotë asgjë për rrjedhjen që po përpiqeni të mbyllni. Shikoni numëruesit ndërsa testi ekzekutohet, sepse një rregull që nuk përputhet kurrë nuk bën atë që pretendon komenti i tij.

Ndryshoni një rregull të kufizuar për provë dhe mbani konfigurimin e mëparshëm pranë. Aty ku një profil i menaxhuar zotëron politikën, përfshini administratorin e tij përpara se të redaktoni lokalisht, sepse kontrolli tjetër do të mbishkruajë një rregullim lokal dhe do të rivendosë rrjedhjen.