Quy tắc VPN IPv4 của bạn không nói gì về lưu lượng IPv6

Một cuộc kiểm toán phát hiện đường hầm được lọc chặt chẽ cho IPv4 và mở toang cho IPv6 trên cùng một giao diện. Không có gì được cấu hình sai theo nghĩa lỗi đánh máy; bộ quy tắc chỉ mô tả một họ và mọi người cho rằng họ kia đi theo. Điều đó hiếm khi xảy ra. Ba điều kiện quyết định quy tắc của bạn có thực sự bao phủ cả hai hay không, và điều kiện đầu tiên liên quan đến nền tảng chứ không phải chính sách.

Điều kiện một: nền tảng có một bảng hay hai bảng

Một số bộ lọc gói giữ IPv4 và IPv6 trong các bộ quy tắc hoàn toàn tách biệt, nên một quy tắc thêm vào bảng này không có tác dụng với bảng kia cho đến khi ai đó sao chép nó. Những bộ khác cung cấp một họ khớp với cả hai và dịch địa chỉ theo từng gói. Nhóm thứ ba giữ một ngôn ngữ chính sách nhưng lưu các đối tượng riêng theo từng họ ở phía sau.

Đọc tài liệu của bộ lọc bạn thực sự chạy, sau đó liệt kê những bảng nào tồn tại và thay đổi của bạn đã chạm vào bảng nào. Đếm các quy tắc trong bảng IPv4 trả lời một câu hỏi không ai đặt ra. Sau đó liệt kê những bảng nào tồn tại và thay đổi của bạn đã chạm vào bảng nào.

Điều kiện hai: chính sách áp dụng ở đâu

Ba vị trí bị nhầm lẫn với nhau: trình lắng nghe chấp nhận đường hầm, đường đi chuyển tiếp lưu lượng và giao diện thông thường mà máy khách dùng khi đường hầm không mang luồng nào. Một cổng có thể chấp nhận phiên trong khi bỏ mọi thứ được chuyển tiếp từ đó, và điều đó trông giống đường hầm hỏng hơn là bộ lọc. Hãy loại bỏ sự nhầm lẫn đó trước khi viết bất cứ điều gì, vì ba vị trí có chủ sở hữu và nhật ký khác nhau. Gọi tên chúng trong bản ghi thay đổi là điều ngăn một bản sửa lỗi rơi cách lỗi một lớp.

Ghi lại vị trí nào trong ba vị trí mà quy tắc của bạn nhằm quản lý. Một quy tắc bảo vệ trình lắng nghe không bảo vệ đường đi được chuyển tiếp, và không cái nào đóng tuyến trực tiếp của máy khách. Hãy để ý ai sở hữu từng vị trí, vì câu trả lời ở hầu hết tổ chức là một nhóm khác.

Điều kiện ba: IPv6 nên làm gì

Quyết định xem IPv6 có đi qua đường hầm không, bị chặn khi không có biện pháp bảo vệ, hay tuân theo một ngoại lệ đã được ghi lại. Mỗi câu trả lời tạo ra một bộ quy tắc khác, và để câu hỏi mở là cách một máy khách có IPv6 gốc lại vươn tới những đích bên ngoài đường hầm mà nó vẫn tới được bên trong nhờ IPv4.

Hãy nói to câu trả lời trước khi viết quy tắc. Chặn là lựa chọn hợp lý cho một đường hầm không mang IPv6, miễn là có chủ đích và đã được kiểm tra chứ không phải kết quả tình cờ của một bảng trống. Bất cứ điều gì không được ghi lại sẽ bị người tiếp theo chạm vào quy tắc quyết định lại, và thường là trong lúc vội.

ICMPv6 là lưu lượng điều khiển

Phát hiện láng giềng và phản hồi đường đi đều chạy trên ICMPv6, nên việc thả toàn bộ sao chép từ thói quen IPv4 phá vỡ địa chỉ hóa và các lần truyền lớn cùng một lúc. Cho phép toàn bộ cũng không phải câu trả lời, vì nó trao một kênh mà không ai trông coi.

Hãy theo hướng dẫn lọc cho các loại thông điệp quan trọng và từ chối phần còn lại kèm lý do. Sự cố bị chẩn đoán sai nhiều nhất là thông điệp Packet Too Big bị thiếu, xuất hiện dưới dạng một kết nối mở ra rồi đứng im.

Chứng minh điều đó, từng họ một

Kiểm tra một yêu cầu được cho phép trên từng họ riêng biệt, rồi lặp lại sau khi kết nối lại nếu chính sách phải sống sót qua phiên. Kiểm tra trên mạng chỉ có IPv4 không thể thực hành một tuyến IPv6, nên việc vượt qua không nói gì về rò rỉ bạn đang cố bịt. Hãy xem các bộ đếm khi bài kiểm tra chạy, vì một quy tắc không bao giờ khớp thì không làm điều mà chú thích của nó tuyên bố.

Thay đổi một quy tắc có phạm vi mỗi lần thử và giữ cấu hình trước đó trong tay. Khi một hồ sơ được quản lý sở hữu chính sách, hãy mời quản trị viên của nó trước khi chỉnh sửa cục bộ, vì lần kiểm tra tiếp theo sẽ ghi đè bản sửa cục bộ và khôi phục rò rỉ.