Kizuizi cha dharura kinazuia IPv4 pekee: kwa nini IPv6 bado inatoka

Handaki inaanguka, kizuizi cha dharura kinaripoti kwamba kimeingia kazini, na upakuaji unaendelea. Hakuna kilichovunjika katika kanuni za IPv4. Programu imehamia tu kwenye njia ambayo kanuni hizo hazikuandikwa kamwe.

Vifaa vya safu mbili vina njia mbili huru za kutoka. Kizuizi kwenye moja yao ni nusu kizuizi.

Seti mbili za kanuni, chaguo-msingi mbili

Kwenye Linux, iptables na ip6tables ni majedwali tofauti yenye sera tofauti. Kuweka minyororo ya INPUT na OUTPUT ya jedwali la IPv4 kwenye DROP hakubadilishi chochote kwenye jedwali la IPv6, ambapo chaguo-msingi kwa kawaida ni ACCEPT. Mgawanyiko huo huo upo katika nftables, ambapo unaweza kuchunguza familia moja na kugundua kwamba ni moja tu kati yao inayobeba kanuni zako. Kutofanana huko ni kawaida, na tatizo lote ni hilo.

Ndiyo sababu kizuizi cha dharura kinaweza kuonekana kamili lakini kifanye kazi kwa sehemu. Skripti iliyoandika kanuni za IPv4 iliendeshwa, vihesabu vinaongezeka, mstari wa kumbukumbu unaonekana, na pakiti ya IPv6 inatoka kupitia kiolesura halisi ikiwa haijaguswa kabisa.

Soma kile mteja wako anasakinisha kweli, sio kile ukurasa wa masoko unaahidi. Baadhi ya wateja huelekeza IPv6 ndani ya handaki, wengine huizuia kwa makusudi, na wengine huiacha ilivyo wakati kufuli la ngazi ya jukwaa linatumia kanuni tofauti. Hapa nyaraka za msambazaji ndizo chanzo pekee kinachostahili kuaminiwa.

Kile usanidi wa kiolesura unakuambia

Ukurasa wa mwongozo wa wg-quick unajumuisha kanuni za IPv6 katika usanidi wake wa mfano, na sababu ni pengo hili hasa. Mfano sio mapambo. Upo kwa sababu kanuni za IPv4 pekee zingeacha familia ya pili wazi.

Kunakili nusu ya mfano huzalisha nusu ya sera. Hii ndiyo asili ya kawaida ya uvujaji huu. Chapisho moja la blogu lilifupisha mfano kwa ajili ya urefu. Kisha toleo lililofupishwa likawa kiolezo ambacho kila mtu alitumia tena.

# what is actually installed, per family?
sudo iptables -S OUTPUT | head -20
sudo ip6tables -S OUTPUT | head -20

# nftables: inspect each family separately
sudo nft list ruleset inet | head -40

# does this host even have a usable IPv6 path?
ip -6 route show default

Ikiwa amri ya pili inachapisha sera inayoruhusu wakati ya kwanza inachapisha DROP, umepata jibu bila kugusa mteja. Kutofanana huko ndio hitilafu.

Kwa nini utafutaji mmoja sio hadithi nzima

Jina moja linaweza kurudisha rekodi ya A na rekodi ya AAAA kwa pamoja, na programu zote hazichagui kwa namna moja. Kivinjari kinaweza kupendelea IPv6 wakati mtandao unaitoa na kurudi nyuma kinaposhindwa, wakati usawazishaji wa chinichini au kisasisishaji kinatumia kitatuzi chake na upendeleo wake. Kwa hiyo jaribio moja lililofanikiwa juu ya IPv4 linathibitisha njia moja, sio sera.

Mabadiliko ya mtandao pia hubadilisha jibu. Kujiunga na mtandao mwingine wa Wi-Fi, kuamka kutoka usingizini au kubadilisha kwenda mtandao wa simu kunaweza kuipa kifaa kiambishi awali kipya cha IPv6, na sera iliyoonekana ya kutosha kwenye LAN ya ofisi inaweza kuwa haifuniki hilo.

Jaribu hali ambayo handaki imezimwa

Kujaribu ukiwa umeunganishwa kunakuambia handaki inafanya kazi. Jaribio la kuvutia ni hali ya kutopatikana, kwa sababu ndipo kizuizi cha dharura kinapaswa kushikilia. Simamisha handaki kwa makusudi, kisha jaribu maeneo muhimu kutoka kwa programu unayoilinda.

# with the tunnel stopped, does anything still leave?
ip -6 route get 2606:4700:4700::1111
curl -6 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv6.example.net/
curl -4 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv4.example.net/

Familia zote mbili zinapaswa kushindwa zikiwa zimefungwa. Ikiwa ombi la IPv4 linaisha muda na ombi la IPv6 linarejesha msimbo wa hali, sera haijakamilika, na hakuna kiasi cha kujaribu handaki tena kitakachobadilisha hilo.

Hifadhi pia misamaha iliyoandikwa katika jaribio hilo. Ugunduzi wa mtandao wa ndani, uhuishaji wa DHCP au njia ya kuanzisha hadi mwisho wa VPN vinaweza kuhitaji kubaki vifikike, na misamaha hiyo inapaswa kutajwa katika sera badala ya kugunduliwa wakati wa kukatika. Jaribio la uvujaji linaloshindwa kwa sababu handaki haiwezi kupanda tena sio ugunduzi wa usalama, ni ugunduzi wa muunganisho.