Firewall profilləri və VPN çıxışı: niyə «ictimai» yol deyil
Firewall profili hansı qayda dəstinin tətbiq olunacağını seçir. Paketi hansı interfeysin apardığı barədə heç nə demir və açıq blok daha dar icazədən üstün tutulur.
Qayda dəqiq səslənir: şəxsi profildə yerli trafikə, ictimai profildə isə yalnız VPN trafikinə icazə ver. Amma belə deyil, çünki şəbəkə profili hansı firewall qayda dəstinin tətbiq olunacağını seçir və paketi hansı adapterin apardığı barədə heç nə demir. Profil adını yol tələbi kimi qəbul etmək, məhdud çıxış dizaynını bitmiş göstərən səhvdir, halbuki o bitməyib.
Əvvəlcə axınları yazın, sonra hər birini həqiqətən hansı mexanizmin tətbiq edə biləcəyinə qərar verin. Bu axın siyahısı növbəti qayda dəyişikliyindən sonra qalan yeganə artefaktdır.
Kateqoriya qaydaları seçir, marşrutları yox
Windows şəbəkəni ictimai və ya şəxsi kimi təsnif etdikdə firewall həmin profil üçün qurulmuş qayda dəstini tətbiq edir. Təsnifat adapterin qoşulduğu şəbəkəni izləyir və qayda dəsti orada nəyə icazə verildiyini müəyyən edir. Bu faktların heç biri tətbiqin trafikinin tuneldən keçib-keçmədiyindən asılı deyil. Məhz bu müstəqillik bütün çətinlikdir.
Yol seçimini marşrutlaşdırma edir: interfeys metriki və tunelin quraşdırdığı prefiks vasitəsilə. Buna görə profil ictimai kimi işarələnə bilər, halbuki tətbiqin bağlantısı fiziki yolu tutur, firewall isə yenə də ictimai qayda dəstinin tətbiq olunduğunu bildirir.
Buna görə profilə bağlanmış qayda yalnız-tunel mənasına gələ bilməz. Bu iki xassəni fərqli komponentlər müəyyən edir və biri digərini əvəz edə bilməz.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
Açıq blok daha dar icazədən üstündür
Microsoft-un firewall qaydaları üzrə təlimatı standart blok əməliyyatına edilən icazə istisnasını icazə ilə ziddiyyət təşkil edən açıq blokdan fərqləndirir. Açıq bloklar bu ziddiyyətdə qalib gəlir və çıxış qaydaları da eyni üstünlüyə tabe olur.
Yəni hər şeyi bloklayan qayda əlavə edib üstünə qoyulmuş daha dar icazəyə güvənmək kimi məşhur üsul müəllifinin gözlədiyini etmir. Windows Firewall ziddiyyəti administratorun təyin etdiyi qayda sırası ilə həll etmir. Blok sadəcə tətbiq olunur və qoşulan tətbiq vaxt aşımı bildirir. İstisnaya bənzəyən qayda heç vaxt işə qarışmırdı.
Dəstəklənən forma təsdiqlənmiş icazə qaydaları olan standart-rədd siyasətidir; burada hər icazə proqramı, xidməti və ya təyinatı yoxlanıla biləcək qədər dəqiq adlandırır. Bu dizayn auditi keçir, çünki hər istisna görünür və heç biri yaradılma sırasından asılı deyil.
Bir-birinə zidd iki qayda bir qaydadan pisdir, çünki nəticədə davranış eyni vaxtda həm düzgün, həm də izahsız olur.
Çıxış siyasətinə bir sahib verin
Dəstəklənən VPN klienti artıq öz bloklama davranışını və öz son nöqtə istisnalarını saxlayır. Əlaqələndirilməmiş əl qaydaları əlavə etmək həmin klienti quraşdırma üçün lazım olan tuneldən kənarda qoya və ya heç kimin görmədiyi ikinci yolu açıq buraxa bilər.
Qaydaları yazmadan əvvəl çıxış siyasətinin kimə aid olduğunu qərarlaşdırın: klientin öz konfiqurasiyası, idarə olunan firewall siyasəti, yoxsa sahibi olan sənədləşdirilmiş yerli istisna siyahısı. Sonra nə isə qoşulana qədər təcrübələri üst-üstə yığmaq əvəzinə qatları uzlaşdırın. Adlandırılmış sahib iki qat ziddiyyətə düşəndə soruşduğunuz adamdır.
Nəyisə dəyişməzdən əvvəl bərpa kanalı saxlayın. Öz idarəetmə yolundan kilidlənmiş uzaq maşın, bağladığınız siyasət boşluğundan daha pis nəticədir. Bərpa qaydasını əvvəlcədən yazmaq onu əsaslandırmağı asanlaşdırır və dəyişiklik heç kimin xoşlamadığı saatda tərs gedəndə tapmağı asanlaşdırır.
Etiketi oxumaq əvəzinə dörd nəticəni sınayın
Siyasət yalnız ayırd etdiyi hallar qədər yaxşıdır, ona görə profil etiketini nəticə deyil, başlanğıc nöqtəsi kimi qəbul edin. Dörd nəticə işləyib-işləmədiyini deyir: nəzərdə tutulan LAN sorğusu keçir, əhatə olunan internet sorğusu keçir, qadağan edilmiş birbaşa sorğu uğursuz olur və tunel nasazlığı halı səssizcə geri çəkilmək əvəzinə dizayn edildiyi kimi davranır. Dörd nəticəni qayda dəyişikliyinin yanına yazın. Dörd adlı halı olan test planı hər dəfə işlətmək üçün kifayət qədər qısa, ucadan uğursuz olmaq üçün kifayət qədər dəqiqdir.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
Birinci əmr hər qoşulmuş şəbəkənin necə təsnif edildiyini göstərir və bu, çox vaxt qaydanı yazan şəxsin fərz etdiyi şey deyil. İkinci hər profil üçün standart əməliyyatı göstərir, üçüncü isə aktiv çıxış bloklarını sadalayır, o cümlədən daha dar icazəni səssizcə ləğv edəcək olanları.
Şəbəkə dəyişikliyindən sonra dörd halı yenidən işlədin, çünki maşın başqa şəbəkəyə qoşulanda profil yenidən təsnif edilə bilər. Uyğun profil etiketi yolun istədiyiniz yol olduğuna dəlil deyil.