IPv4 uchun VPN qoidangiz IPv6 trafigi haqida hech narsa demaydi

Audit bir xil interfeysda tunnel IPv4 uchun qattiq filtrlangan, IPv6 uchun esa butunlay ochiq ekanini aniqlaydi. Yozuv xatosi ma'nosida hech narsa noto'g'ri sozlanmagan; qoidalar to'plami shunchaki bitta oilani tasvirlagan va hamma ikkinchisi unga ergashadi deb o'ylagan. Bu kamdan-kam bo'ladi. Qoidangiz haqiqatan ikkalasini qamrab olishini uch shart hal qiladi va birinchisi siyosatga emas, platformaga tegishli.

Birinchi shart: platformada bitta jadvalmi yoki ikkitami

Ba'zi paket filtrlari IPv4 va IPv6 ni butunlay alohida qoidalar to'plamida saqlaydi, shuning uchun biriga qo'shilgan qoida kimdir uni nusxalamaguncha ikkinchisiga ta'sir qilmaydi. Boshqalari ikkalasiga mos oilani taklif qiladi va manzillarni har bir paket uchun tarjima qiladi. Uchinchi guruh bitta siyosat tilini saqlaydi, lekin uning orqasida har bir oila uchun alohida obyektlarni saqlaydi.

Haqiqatan ishlatadigan filtringiz hujjatlarini o'qing, so'ng qaysi jadvallar mavjudligini va o'zgarishingiz qaysi biriga tegganini sanab chiqing. IPv4 jadvalidagi qoidalarni sanash hech kim bermagan savolga javob beradi. So'ng qaysi jadvallar mavjudligini va o'zgarishingiz qaysi biriga tegganini sanab chiqing.

Ikkinchi shart: siyosat qayerda qo'llaniladi

Uch joy bir-biri bilan aralashtiriladi: tunnelni qabul qiladigan tinglovchi, trafikni oldinga uzatadigan yo'l va tunnel oqim tashimaganida mijozi ishlatadigan oddiy interfeys. Shlyuz seansni qabul qilib, undan oldinga uzatilgan hamma narsani tashlab yuborishi mumkin va bu filtrdan ko'ra buzilgan tunnelga o'xshaydi. Biror narsa yozishdan oldin bu chalkashlikni olib tashlang, chunki uch joyning egalari va jurnallari boshqacha. Ularni o'zgarish yozuvida nomlash tuzatishning nosozlikdan bir qatlam uzoqqa tushishini oldini oladi.

Qoidangiz uch joydan qaysi birini boshqarishi kerakligini yozing. Tinglovchini himoya qiladigan qoida uzatiladigan yo'lni himoya qilmaydi va ikkalasi ham mijozning to'g'ridan-to'g'ri marshrutini yopmaydi. Har bir joy kimga tegishli ekanini e'tiborga oling, chunki aksariyat tashkilotlarda javob boshqa jamoa.

Uchinchi shart: IPv6 nima qilishi kerak

IPv6 tunneldan o'tadimi, himoya mavjud bo'lmaganda bloklanadimi yoki hujjatlashtirilgan istisnoga amal qiladimi, shuni hal qiling. Har bir javob boshqa qoidalar to'plamini beradi va savolni ochiq qoldirish mahalliy IPv6 ga ega mijozning IPv4 orqali tunnel ichida yetib boradigan manzillariga tunneldan tashqarida ham yetib borish yo'lidir.

Qoidalar yozishdan oldin javobni ovoz chiqarib ayting. IPv6 tashimaydigan tunnel uchun bloklash qonuniy tanlov, agar u ataylab qilingan va sinovdan o'tgan bo'lsa, bo'sh jadvalning tasodifiy natijasi bo'lmasa. Hujjatlashtirilmagan hamma narsa keyingi safar qoidalarga tegadigan kishi tomonidan qaytadan hal qilinadi va odatda shoshilib.

ICMPv6 boshqaruv trafigi

Qo'shnilarni aniqlash va yo'l bo'yicha qayta aloqa ikkalasi ham ICMPv6 ustida yuradi, shuning uchun IPv4 odatidan ko'chirilgan umumiy tashlash manzillash va katta uzatishlarni bir vaqtda buzadi. Umumiy ruxsat ham javob emas, chunki u hech kim kuzatmaydigan kanalni topshiradi.

Muhim xabar turlari uchun filtrlash yo'riqnomasiga amal qiling va qolganini sabab bilan rad eting. Eng ko'p noto'g'ri tashxis qo'yiladigan nosozlik yo'qolgan Packet Too Big xabaridir va u ochilib keyin tiqilib qoladigan ulanish sifatida ko'rinadi.

Buni isbotlash, bir vaqtda bitta oila

Har bir oila bo'yicha ruxsat etilgan so'rovni alohida sinab ko'ring, so'ng siyosat seansdan omon o'tishi kerak bo'lsa, qayta ulangandan keyin takrorlang. Faqat IPv4 tarmog'idagi sinov IPv6 marshrutini ishlata olmaydi, shuning uchun muvaffaqiyat siz yopmoqchi bo'lgan oqish haqida hech narsa demaydi. Sinov davomida hisoblagichlarni kuzating, chunki hech qachon mos kelmaydigan qoida izohida aytilganini qilmaydi.

Har bir urinishda bitta cheklangan qoidani o'zgartiring va oldingi konfiguratsiyani qo'lingizda saqlang. Siyosat boshqariladigan profilga tegishli bo'lsa, mahalliy tahrirlashdan oldin uning administratorini jalb qiling, chunki keyingi tekshiruv mahalliy tuzatish ustiga yozib, oqishni qaytaradi.