กฎ VPN สำหรับ IPv4 ของคุณไม่ได้บอกอะไรเกี่ยวกับทราฟฟิก IPv6

การตรวจสอบพบว่าอุโมงค์ถูกกรองอย่างแน่นหนาสำหรับ IPv4 และเปิดกว้างสำหรับ IPv6 บนอินเทอร์เฟซเดียวกัน ไม่มีอะไรกำหนดค่าผิดในแง่ของการพิมพ์ผิด ชุดกฎเพียงอธิบายตระกูลหนึ่งและทุกคนสันนิษฐานว่าอีกตระกูลทำตาม ซึ่งแทบไม่เคยเป็นเช่นนั้น สามเงื่อนไขตัดสินว่ากฎของคุณครอบคลุมทั้งสองจริงหรือไม่ และเงื่อนไขแรกเกี่ยวกับแพลตฟอร์มไม่ใช่นโยบาย

เงื่อนไขที่หนึ่ง: แพลตฟอร์มมีตารางเดียวหรือสองตาราง

ตัวกรองแพ็กเก็ตบางตัวเก็บ IPv4 และ IPv6 ไว้ในชุดกฎที่แยกจากกันโดยสิ้นเชิง ดังนั้นกฎที่เพิ่มในชุดหนึ่งจะไม่มีผลกับอีกชุดจนกว่าจะมีคนทำสำเนา บางตัวมีตระกูลที่ตรงกับทั้งสองและแปลที่อยู่ต่อแพ็กเก็ต กลุ่มที่สามเก็บภาษาเดียวสำหรับนโยบายแต่เก็บออบเจ็กต์แยกตามตระกูลไว้ข้างหลัง

อ่านเอกสารของตัวกรองที่คุณใช้งานจริง แล้วระบุว่ามีตารางใดบ้างและการเปลี่ยนแปลงของคุณแตะตารางใด การนับกฎในตาราง IPv4 ตอบคำถามที่ไม่มีใครถาม แล้วระบุอีกครั้งว่ามีตารางใดบ้างและการเปลี่ยนแปลงของคุณแตะตารางใด

เงื่อนไขที่สอง: นโยบายบังคับใช้ที่ใด

สามตำแหน่งสับสนกัน: ตัวรับฟังที่ยอมรับอุโมงค์ เส้นทางที่ส่งต่อทราฟฟิก และอินเทอร์เฟซปกติที่ไคลเอนต์ใช้เมื่ออุโมงค์ไม่ได้บรรทุกโฟลว์ เกตเวย์อาจยอมรับเซสชันแต่ทิ้งทุกอย่างที่ส่งต่อออกมา และนั่นดูเหมือนอุโมงค์ที่พังมากกว่าตัวกรอง ขจัดความสับสนนั้นก่อนเขียนอะไร เพราะทั้งสามตำแหน่งมีเจ้าของและบันทึกต่างกัน การระบุชื่อในบันทึกการเปลี่ยนแปลงคือสิ่งที่ป้องกันไม่ให้การแก้ไขไปตกอยู่ห่างจากข้อบกพร่องหนึ่งชั้น

เขียนว่ากฎของคุณมีไว้ควบคุมตำแหน่งใดในสามตำแหน่ง กฎที่ปกป้องตัวรับฟังไม่ได้ปกป้องเส้นทางที่ส่งต่อ และทั้งสองไม่ได้ปิดเส้นทางตรงของไคลเอนต์ สังเกตว่าใครเป็นเจ้าของแต่ละตำแหน่ง เพราะคำตอบในองค์กรส่วนใหญ่คือทีมอื่น

เงื่อนไขที่สาม: IPv6 ควรทำอะไร

ตัดสินว่า IPv6 เดินทางผ่านอุโมงค์หรือไม่ ถูกบล็อกขณะไม่มีการป้องกัน หรือทำตามข้อยกเว้นที่บันทึกไว้ คำตอบแต่ละแบบให้ชุดกฎต่างกัน และการปล่อยคำถามไว้เปิดคือวิธีที่ไคลเอนต์ที่มี IPv6 แท้เข้าถึงปลายทางนอกอุโมงค์ที่มันเข้าถึงภายในผ่าน IPv4

พูดคำตอบออกมาดัง ๆ ก่อนเขียนกฎ การบล็อกเป็นทางเลือกที่ชอบด้วยกฎหมายสำหรับอุโมงค์ที่ไม่บรรทุก IPv6 ตราบใดที่ทำอย่างตั้งใจและผ่านการทดสอบ ไม่ใช่ผลพลอยได้จากตารางว่าง สิ่งใดที่ไม่บันทึกไว้จะถูกตัดสินใหม่โดยคนที่แตะกฎครั้งถัดไป และมักทำอย่างเร่งรีบ

ICMPv6 คือทราฟฟิกควบคุม

การค้นหาเพื่อนบ้านและการตอบกลับเส้นทางต่างวิ่งบน ICMPv6 ดังนั้นการทิ้งทั้งหมดที่คัดลอกมาจากนิสัย IPv4 จึงทำให้การกำหนดที่อยู่และการถ่ายโอนขนาดใหญ่พังพร้อมกัน การอนุญาตทั้งหมดก็ไม่ใช่คำตอบ เพราะมันส่งมอบช่องทางที่ไม่มีใครเฝ้าดู

ปฏิบัติตามคำแนะนำการกรองสำหรับประเภทข้อความที่สำคัญและปฏิเสธส่วนที่เหลือพร้อมเหตุผล ความล้มเหลวที่วินิจฉัยผิดบ่อยที่สุดคือข้อความ Packet Too Big ที่หายไป ซึ่งปรากฏเป็นการเชื่อมต่อที่เปิดแล้วหยุดชะงัก

พิสูจน์มัน ทีละตระกูล

ทดสอบคำขอที่ได้รับอนุญาตบนแต่ละตระกูลแยกกัน แล้วทำซ้ำหลังเชื่อมต่อใหม่หากนโยบายควรอยู่รอดข้ามเซสชัน การทดสอบบนเครือข่าย IPv4 เท่านั้นไม่สามารถฝึกเส้นทาง IPv6 ได้ ผลที่ผ่านจึงไม่บอกอะไรเกี่ยวกับการรั่วที่คุณพยายามปิด ดูตัวนับขณะทดสอบ เพราะกฎที่ไม่เคยตรงกับอะไรไม่ได้ทำอย่างที่คอมเมนต์อ้าง

เปลี่ยนกฎที่มีขอบเขตหนึ่งข้อต่อการลองหนึ่งครั้งและเก็บการกำหนดค่าก่อนหน้าไว้ใกล้มือ เมื่อโปรไฟล์ที่จัดการเป็นเจ้าของนโยบาย ให้มีส่วนร่วมกับผู้ดูแลก่อนแก้ไขในเครื่อง เพราะการเช็กอินครั้งถัดไปจะเขียนทับการแก้ไขในเครื่องและคืนการรั่ว