IPv4 VPN kuralınız IPv6 trafiği hakkında hiçbir şey söylemiyor

Bir denetim, tünelin aynı arayüzde IPv4 için sıkı biçimde filtrelendiğini ve IPv6 için tamamen açık olduğunu buluyor. Yazım hatası anlamında yanlış yapılandırılmış bir şey yoktu; kural kümesi yalnızca bir aileyi tanımlıyordu ve herkes diğerinin de onu izlediğini varsaydı. Nadiren izler. Kuralınızın gerçekten ikisini de kapsayıp kapsamadığını üç koşul belirler ve ilki politikayla değil platformla ilgilidir.

Birinci koşul: platformun bir tablosu mu var yoksa iki mi

Bazı paket filtreleri IPv4 ile IPv6'yı tamamen ayrı kural kümelerinde tutar, bu yüzden birine eklenen kural biri onu çoğaltana kadar diğerini etkilemez. Diğerleri her ikisine uyan bir aile sunar ve adresleri paket başına çevirir. Üçüncü grup tek bir politika dili tutar ama arkasında her aile için ayrı nesneler saklar.

Gerçekten çalıştırdığınız filtrenin belgelerini okuyun, ardından hangi tabloların var olduğunu ve değişikliğinizin hangisine dokunduğunu listeleyin. IPv4 tablosundaki kuralları saymak kimsenin sormadığı bir soruyu yanıtlar. Ardından hangi tabloların var olduğunu ve değişikliğinizin hangisine dokunduğunu listeleyin.

İkinci koşul: politika nerede uygulanır

Üç yer birbirine karıştırılır: tüneli kabul eden dinleyici, trafiği ileri ileten yol ve tünel bir akış taşımadığında istemcinin kullandığı olağan arayüz. Bir ağ geçidi bir oturumu kabul ederken ondan iletilen her şeyi düşürebilir ve bu filtre yerine bozuk bir tünel gibi görünür. Bir şey yazmadan önce bu karışıklığı giderin, çünkü üç yerin sahipleri ve günlükleri farklıdır. Onları değişiklik kaydında adlandırmak, bir düzeltmenin hatadan bir katman öteye düşmesini engelleyen şeydir.

Kuralınızın üç yerden hangisini yönetmesi gerektiğini yazın. Dinleyiciyi koruyan bir kural iletilen yolu korumaz ve ikisi de istemcinin doğrudan rotasını kapatmaz. Her yerin kime ait olduğunu not edin, çünkü çoğu kuruluşta cevap başka bir ekiptir.

Üçüncü koşul: IPv6 ne yapmalı

IPv6'nın tünelden geçip geçmeyeceğine, koruma yokken engellenip engellenmeyeceğine veya belgelenmiş bir istisnayı izleyip izlemeyeceğine karar verin. Her cevap farklı bir kural kümesi üretir ve soruyu açık bırakmak, yerel IPv6'ya sahip bir istemcinin IPv4 üzerinden tünelin içinde ulaştığı hedeflere tünelin dışından da ulaşmasının yoludur.

Kural yazmadan önce cevabı yüksek sesle söyleyin. IPv6 taşımayan bir tünel için engelleme meşru bir seçimdir, yeter ki bilinçli ve test edilmiş olsun, boş bir tablonun kazara sonucu olmasın. Belgelenmemiş her şey bir sonraki sefer kurallara dokunan kişi tarafından yeniden kararlaştırılır ve genellikle aceleyle.

ICMPv6 kontrol trafiğidir

Komşu keşfi ve yol geri bildirimi ikisi de ICMPv6 üzerinden gider, bu yüzden IPv4 alışkanlığından kopyalanan toptan düşürme adreslemeyi ve büyük aktarımları aynı anda bozar. Toptan izin de cevap değildir, çünkü kimsenin izlemediği bir kanalı teslim eder.

Önemli mesaj türleri için filtreleme kılavuzunu izleyin ve geri kalanını bir gerekçeyle reddedin. En sık yanlış teşhis edilen arıza, eksik Packet Too Big mesajıdır ve açılıp sonra takılan bir bağlantı olarak görünür.

Bunu kanıtlamak, her seferinde bir aile

Yetkili bir isteği her aile üzerinde ayrı ayrı test edin, politika oturumu atlatacaksa yeniden bağlandıktan sonra yineleyin. Yalnızca IPv4 ağında yapılan test bir IPv6 rotasını çalıştıramaz, bu yüzden geçmek kapatmaya çalıştığınız sızıntı hakkında hiçbir şey söylemez. Test çalışırken sayaçları izleyin, çünkü hiç eşleşmeyen bir kural yorumunun iddia ettiğini yapmıyordur.

Her denemede kapsamı belirli tek bir kural değiştirin ve önceki yapılandırmayı elinizin altında tutun. Politikaya yönetilen bir profil sahipse, yerel olarak düzenlemeden önce yöneticisini dahil edin, çünkü sonraki kontrol yerel bir düzeltmenin üzerine yazacak ve sızıntıyı geri getirecektir.