Ваше IPv4 VPN правило не говори ништа о IPv6 саобраћају

Ревизија открива да је тунел на истом интерфејсу чврсто филтриран за IPv4 и широко отворен за IPv6. Ништа није било погрешно конфигурисано у смислу словне грешке; скуп правила је једноставно описивао једну фамилију и сви су претпоставили да је друга следи. То се ретко дешава. Три услова одлучују да ли ваше правило заиста покрива обе, а први се тиче платформе, а не политике.

Услов први: има ли платформа једну табелу или две

Неки филтери пакета држе IPv4 и IPv6 у потпуно одвојеним скуповима правила, па правило додато једном нема ефекта на други док га неко не дуплира. Други нуде фамилију која одговара обема и преводе адресе по пакету. Трећа група држи један језик политике, али иза њега чува одвојене објекте по фамилији.

Прочитајте документацију филтера који заиста покрећете, затим наведите које табеле постоје и коју је ваша промена дотакла. Бројање правила у табели IPv4 одговара на питање које нико није поставио. Затим наведите које табеле постоје и коју је ваша промена дотакла.

Услов други: где се политика примењује

Три места се мешају једно с другим: слушалац који прихвата тунел, пут који прослеђује саобраћај даље и обичан интерфејс који клијент користи када тунел не носи ток. Мрежни пролаз може да прихвати сесију а да притом одбацује све што се из ње прослеђује, и то изгледа као покварен тунел, а не као филтер. Уклоните ту забуну пре него што било шта напишете, јер три места имају различите власнике и различите дневнике. Именовање у запису о промени је оно што спречава да поправка слети један слој даље од квара.

Запишите које од три места ваше правило треба да надгледа. Правило које штити слушаоца не штити прослеђени пут, и ниједно не затвара директну руту клијента. Обратите пажњу коме припада свако место, јер је одговор у већини организација други тим.

Услов трећи: шта IPv6 треба да ради

Одлучите да ли IPv6 путује кроз тунел, блокира се док заштита није доступна, или следи документовани изузетак. Сваки одговор даје другачији скуп правила, а остављање питања отвореним је начин на који клијент са изворним IPv6 стиже до одредишта ван тунела која достиже унутар њега преко IPv4.

Изговорите одговор наглас пре него што напишете правила. Блокирање је легитиман избор за тунел који не носи IPv6, све док је намерно и тестирано, а не случајан резултат празне табеле. Све недокументовано ће изнова одлучити онај ко следећи дотакне правила, и то обично у журби.

ICMPv6 је контролни саобраћај

Откривање суседа и повратна информација о путу возе се обе на ICMPv6, па свеобухватно одбацивање преписано из навике IPv4 квари адресирање и велике преносе истовремено. Свеобухватно допуштање такође није одговор, јер предаје канал који нико не надгледа.

Пратите смернице за филтрирање за важне типове порука и одбијте остале са разлогом. Квар који се најчешће погрешно дијагностикује је недостајућа порука Packet Too Big, која се појављује као веза која се отвори и затим заглављује.

Доказати то, једна фамилија по пут

Тестирајте овлашћени захтев преко сваке фамилије одвојено, затим поновите после поновног повезивања ако политика треба да преживи сесију. Тест на мрежи само са IPv4 не може да изведе IPv6 руту, па успех не говори ништа о цурењу које покушавате да затворите. Гледајте бројаче док тест траје, јер правило које никада не одговара не ради оно што тврди његов коментар.

Мењајте једно ограничено правило по покушају и држите претходну конфигурацију при руци. Где политику поседује управљани профил, укључите његовог администратора пре локалног уређивања, јер ће следећа провера преписати локалну поправку и вратити цурење.