Reguły nie działają dla adresów IPv6

Reguły niedziałające dla adresów IPv6 wskazują na osobny, domyślnie bardziej restrykcyjny profil reguł dla tego protokołu w zaporze.

Reguły nie działają dla adresów IPv6 – czym jest ten problem

Reguły nie działają dla adresów IPv6 wtedy, gdy zapora sieciowa, filtr pakietów albo mechanizm kontroli dostępu nie stosuje oczekiwanych zasad do ruchu korzystającego z protokołu IPv6. Nie musi to oznaczać awarii samej sieci. Często przyczyną jest rozdzielenie konfiguracji dla IPv4 i IPv6, wyłączenie jednego z modułów filtrowania albo pozostawienie domyślnej polityki, która różni się od zasad używanych dla starszego protokołu. Komputer może w takiej sytuacji prawidłowo otwierać część stron, odpowiadać na niektóre połączenia i jednocześnie ignorować reguły przygotowane z myślą o innym typie adresu.

IPv6 nie jest jedynie dłuższym zapisem adresu IPv4. Korzysta z innego formatu adresowania, innego sposobu zapisu prefiksu oraz odmiennych mechanizmów związanych z konfiguracją interfejsu. Adres może mieć kilka zakresów i pełnić różne role, na przykład lokalną, globalną albo tymczasową. Z tego powodu reguła dopuszczająca określony adres IPv4 nie obejmuje automatycznie jego odpowiednika IPv6. Niezbędne jest wskazanie właściwego protokołu, interfejsu, prefiksu, portu oraz kierunku połączenia.

Problem pojawia się również wtedy, gdy nazwa hosta jest tłumaczona jednocześnie na adres IPv4 i IPv6. Aplikacja może najpierw wybrać trasę IPv6, a zapora zastosuje wobec niej inną politykę niż wobec połączenia IPv4. W efekcie usługa wydaje się niedostępna, mimo że połączenie przez IPv4 działa poprawnie. Odwrotna sytuacja także jest możliwa: ruch IPv6 zostaje dopuszczony, ponieważ sprawdzono wyłącznie zasady dotyczące IPv4.

Reguły dla IPv6 na tle IPv4 i zapór sieciowych

W klasycznym środowisku IPv4 reguła często odwołuje się do adresu zapisanego w postaci czterech oktetów, maski podsieci oraz bramy. W IPv6 używa się adresu szesnastkowego i długości prefiksu, na przykład zapisu zakończonego symbolem /64. Pominięcie długości prefiksu albo zastosowanie maski właściwej dla IPv4 może spowodować, że wpis zostanie odrzucony, potraktowany jako niepełny lub dopasowany do innego zakresu niż zamierzony.

Warto rozróżnić kilka miejsc, w których może obowiązywać filtr. Ograniczenie może być ustawione w zaporze systemu operacyjnego, na routerze, na urządzeniu dostępowym, w programie ochronnym albo bezpośrednio w konfiguracji usługi. Jeżeli reguła została utworzona tylko w jednym z tych punktów, pozostałe elementy nadal mogą blokować ruch. Trudność zwiększa się przy połączeniach wychodzących, ponieważ część zapór kontroluje je osobno, a część dopuszcza cały ruch wychodzący i skupia się na połączeniach przychodzących.

Istotne jest także rozróżnienie reguł stanowych i bezstanowych. Zapora stanowa śledzi rozpoczęcie połączenia i może automatycznie dopuścić pakiety należące do już zaakceptowanej sesji. Zapora bezstanowa analizuje każdy pakiet niezależnie, dlatego konieczne może być uwzględnienie zarówno kierunku do usługi, jak i ruchu powrotnego. W IPv6 nie należy zakładać, że zasady przygotowane dla IPv4 zachowują się identycznie. Odmienne mogą być nazwy modułów, kolejność reguł, obsługa interfejsów oraz sposób raportowania odrzuceń.

Na działanie filtrów wpływa również mechanizm automatycznej konfiguracji. Adres może zostać nadany przez komunikaty routera, usługę DHCPv6 albo ustawienie ręczne. Jeżeli adres tymczasowy zmienia się okresowo, reguła oparta na pojedynczym adresie może przestać pasować, chociaż urządzenie nadal korzysta z tej samej sieci i tej samej usługi. W takim przypadku właściwsze bywa odwołanie do stabilnego prefiksu, identyfikatora interfejsu, profilu połączenia lub konkretnego portu aplikacji, zależnie od możliwości używanego systemu.

Reguły IPv6 a typowe problemy z dostępem

Jednym z częstych objawów jest brak dostępu do witryny albo aplikacji tylko z części urządzeń. Na komputerze, który otrzymał adres IPv6, połączenie może być wybierane preferencyjnie, podczas gdy drugi komputer korzysta wyłącznie z IPv4. Użytkownik widzi wtedy pozorną losowość: ten sam zasób działa w jednej przeglądarce lub na jednym urządzeniu, a nie działa w innym. Czasami po dłuższym oczekiwaniu następuje przełączenie na IPv4, co dodatkowo utrudnia rozpoznanie przyczyny.

Inny wariant dotyczy usług lokalnych, takich jak udostępnianie plików, pulpit zdalny, drukowanie sieciowe albo panel administracyjny urządzenia. Reguła może zezwalać na dostęp z lokalnego zakresu IPv4, lecz nie obejmować adresów lokalnych IPv6. W IPv6 spotyka się między innymi adresy link-local, które służą do komunikacji w obrębie segmentu sieci, oraz adresy globalne. Każdy zakres powinien być traktowany świadomie, ponieważ zezwolenie na zbyt szeroki prefiks może otworzyć dostęp większej grupie urządzeń.

Do problemów może dojść również po aktualizacji systemu lub zmianie routera. Włączenie IPv6 przez dostawcę internetu nie zawsze powoduje automatyczne utworzenie bezpiecznych reguł w zaporze. Z kolei ręczne wyłączenie IPv6 w jednym miejscu nie musi wyłączyć go we wszystkich urządzeniach. Mogą pozostać adresy przydzielone interfejsowi, wpisy DNS albo zasady filtrowania, które prowadzą do niespójnego zachowania.

W logach zapory należy szukać informacji o adresie źródłowym i docelowym, numerze portu, protokole transportowym, interfejsie oraz przyczynie odrzucenia. Sam komunikat o niedostępności usługi nie wystarcza do rozstrzygnięcia, czy problem dotyczy routingu, DNS, zapory, aplikacji czy odpowiedzi zwrotnej. Przydatne jest porównanie wyniku testu dla adresu IPv4 i IPv6, ale bez omijania zabezpieczeń i bez trwałego otwierania portów na czas próby.

Reguły nie działają dla adresów IPv6 – praktyczne sprawdzanie

Sprawdzanie warto rozpocząć od ustalenia, czy urządzenie rzeczywiście posiada aktywny adres IPv6 oraz poprawną trasę do celu. Należy zweryfikować konfigurację interfejsu, prefiks, bramę i serwery DNS, a następnie ustalić, jaki adres jest wybierany przez aplikację. Jeżeli występuje kilka adresów, trzeba sprawdzić, czy reguła nie odnosi się tylko do jednego z nich. Dotyczy to zwłaszcza adresów tymczasowych i adresów zmieniających się po ponownym połączeniu z siecią.

Następnie powinno się przeanalizować kolejność reguł. W wielu zaporach pierwsza pasująca reguła kończy dalsze sprawdzanie, więc ogólne odrzucenie umieszczone wyżej może przesłonić szczegółowe zezwolenie. W innych konfiguracjach obowiązuje suma kilku profili, a końcowy wynik zależy od najbardziej restrykcyjnej zasady. Należy osobno sprawdzić profil sieci prywatnej, publicznej i domenowej, jeżeli dany system takie profile rozróżnia.

Regułę powinno się tworzyć z możliwie wąskim zakresem. Warto wskazać konkretną usługę, właściwy protokół transportowy, wymagany port, określony interfejs i zaufany prefiks IPv6. Otwieranie całego ruchu IPv6 w celu szybkiego testu może potwierdzić obecność blokady, ale nie jest bezpiecznym rozwiązaniem końcowym. Po teście trzeba przywrócić właściwą politykę i sprawdzić logi, aby potwierdzić, że dopuszczony został tylko zamierzony rodzaj połączenia.

Nie należy też pomijać DNS. Domena może zwracać rekord AAAA, a aplikacja może próbować połączenia z adresem IPv6, który nie prowadzi do właściwego urządzenia albo nie jest obsługiwany przez usługę. W takiej sytuacji sama zmiana reguły zapory nie rozwiąże problemu. Konieczne może być sprawdzenie wpisów DNS, trasy, konfiguracji usługi oraz odpowiedzi z drugiej strony połączenia. Ważne jest zachowanie kolejności: najpierw potwierdzenie adresacji i routingu, później analiza filtrowania, a na końcu weryfikacja aplikacji.

Kiedy zgłosić reguły IPv6 do serwisu komputerowego

Do serwisu warto zgłosić problem, gdy zasady IPv6 przestały działać po aktualizacji, zmianie routera, instalacji programu ochronnego albo przejściu na nowe łącze internetowe. Wskazaniem jest również sytuacja, w której nie da się ustalić, czy połączenie jest blokowane przez komputer, urządzenie sieciowe czy samą usługę. Szczególnie ostrożnie należy postępować wtedy, gdy problem dotyczy dostępu do urządzeń z innych sieci, ponieważ przypadkowe rozszerzenie zakresu reguły może zwiększyć ich dostępność.

Przy zgłoszeniu pomocne będzie podanie nazwy niedostępnej usługi, urządzenia, rodzaju połączenia oraz informacji, czy problem występuje wyłącznie przy IPv6. Warto zachować komunikaty z logów i opisać, od kiedy występuje usterka. Analiza może obejmować porównanie tras, adresów, rekordów DNS, profili zapory i kolejności reguł, a następnie uporządkowanie konfiguracji bez pozostawiania tymczasowych wyjątków.

W razie potrzeby konsultację dotyczącą reguł zapory i adresacji IPv6 można zgłosić do Warszawskiego Pogotowia Komputerowego 24/7 pod numerem +48 22 100 48 29. Przed przekazaniem urządzenia dobrze przygotować opis objawów oraz informacje o zmianach w sieci, ponieważ ułatwia to odtworzenie warunków, w których reguła przestaje być stosowana. Dzięki temu można rozdzielić problem adresacji, routingu, filtrowania i działania konkretnej aplikacji, a następnie dobrać rozwiązanie ograniczone do rzeczywistej przyczyny.