Ping yalnız bir istiqamətdə işləyir: Windows serverin əks-sədasını niyə atır

Müştəriniz serverə ping göndərir, server müştəriyə ping göndərə bilmir, halbuki tunel hər iki ifadədə paketləri açıq şəkildə daşıyır. Fərq yolda deyil, hər testin ilk paketindədir: biri Windows-un artıq izlədiyi axına verilən cavabdır, digəri isə heç bir qaydanın icazə vermədiyi yeni daxil olan sorğudur. Bu fərq birtərəfli ping hesabatlarının çoxunu izah edir və birbaşa yazmalı olduğunuz qaydaya işarə edir. Əks istiqamətlərdə aparılan iki test halları təxminən bir dəqiqədə ayırır.

İki istiqamət, iki fərqli qərar

Müştəri əks-səda sorğusunu göndərdikdə Windows firewall icazə verməyə qərar verdiyi çıxan bağlantını görür. Cavab həmin qurulmuş axının içində qayıdır, ona görə vəziyyəti izləyən mühərrik ICMP üçün heç bir daxil olan qaydaya baxmadan onu qəbul edir. Vəziyyətə əsaslanan filtrləmə praktikada budur və heç kimin yazmadığı qayda burada iştirak etmir. Deməli, müştərinin uğuru daxil olan siyasət haqqında heç nə demir.

Server sorğunu birinci göndərdikdə ona uyğun gələn heç bir vəziyyət yoxdur. Windows paketi yeni daxil olan bağlantı kimi qəbul edir və daxil olan siyasətdən soruşur; bu siyasət isə standart olaraq ixtiyari mənbələrdən gələn əks-səda sorğuları üçün heç bir hökm vermir.

Yəni müştərinin uğuru çıxan ICMP-nin və qayıdış yolunun işlədiyini sübut etdi. O, daxil olan qərarı heç vaxt sınamadı və firewall-un qaydasında olması kimi təbii nəticə ağlabatandır və səhvdir. Buna görə də səhv artıq sübutu ehtiva edən biletlərdə təkrarlanır.

Paketi yox olana qədər izləyin

Nəyisə dəyişməzdən əvvəl ünvanları təsdiqləyin: müştərinin həqiqətən saxladığı tunel ünvanını istifadə edin və serverin müştərinin arxasındakı LAN ünvanına deyil, məhz ona marşrutlaşdırdığını yoxlayın. İki nasazlıq serverin əmr sətrindən eyni görünür, çünki hər ikisi fasilə ilə bitir. Paketin harada öldüyü nəyi dəyişmək lazım olduğunu həll edən yeganə faktdır.

Əgər sorğu tunel interfeysinə çatır və heç nə çıxmırsa, ehtimal olunan səbəb yerli firewall-dır. Əgər interfeysə heç çatmırsa, cavab yuxarı axındadır: server marşrutu, çıxan siyasət və ya VPN-in öz peer çatdırılması.

Server ping göndərərkən müştərinin tunel interfeysində tutma aparın. Sorğunun yanında cavab olmadan gəldiyini görmək Windows qaydası yazmağı əsaslandıran sübutdur. Heç nə görməmək sizi yuxarı axına yönəldir və o vəziyyətdə əlavə edilən qayda maşını heç vaxt gəlməmiş paket üçün yalnız daha icazəli edir. Hər iki halda tutma onu əvəz etdiyi təxmindən daha az başa gəlir.

ICMP-ni açmaq əvəzinə bir qaydanı həddləyin

Heç nə yazmadan əvvəl adapteri və onun hazırkı kateqoriyasını müəyyənləşdirin, çünki hər ikisi quracağınız əhatədə görünür. Bu ləqəb Windows interfeys adıdır və bu, idxal etdiyiniz VPN profilinin adı deyil. Aşağıdakı əmrlər nəyin mövcud olduğunu sadalayır, sonra həddlənmiş qaydanı tətbiq etmədən önizləyir.

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 tip 8 əks-səda sorğusudur, serverin cavablandırılmasına ehtiyac duyduğu yeganə mesajdır. Onu serverin tunel ünvanına və tunel interfeysinə həddləyin və profili adapterin həqiqətən olduğu kimi buraxın. Şəbəkəni nümunəyə uyğunlaşdırmaq üçün yenidən adlandırmaq öz nəticələri olan ayrı bir dəyişiklikdir.

Qaydanın əhatə etmədiyi şeylər

IPv6 əks-sədası fərqli mesaj tipi olan fərqli protokoldur, ona görə ICMPv4 qaydası onun haqqında heç nə demir və hər iki ailəni daşıyan tunel digəri üçün öz qaydasını tələb edir. Bu qayda başqa heç nə açmır: RDP, fayl paylaşımı və hər bir digər xidmət hələ də öz siyasətindən asılıdır. Bütün məsələ geniş ICMP icazəsini aktivləşdirmək əvəzinə bir dar qaydanı həddləməkdir. Geniş icazə asan həlldir və ən uzun yaşayan həlldir, çünki sonradan heç kim onu görmür.

İdarə olunan cihazda qayda növbəti siyasət yenilənməsində əvəz oluna bilər, ona görə ekvivalent dəyişikliyi yerli administrator deyil, siyasətin sahibi etməlidir. Niyyəti əmrlə yanaşı biletdə də yazın, çünki yenilənmə əmri silib tələbi olduğu kimi saxlayacaq. İkisi eyni artefakt deyil və yalnız biri sağ qalır.

Nəticəni düzgün istiqamətdə oxuyun

Qayda tətbiq olunduqdan sonra serverdən ping göndərin və cavabın müştəriyə çatdığını təsdiqləyin, sonra hələ də kənarda qalmalı olan mənbədən ping göndərin və çatmadığını təsdiqləyin. Tunel birini daşıyırsa, əlçatanlıq testini digər ünvan ailəsində təkrarlayın.

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

Qüvvəyə minmiş qaydayı çap etmək onu yaradan əmrə güvənməkdən daha faydalıdır, çünki önizləmə ilə tətbiq edilmiş qayda fərqli hallardır. Ünvan filtri nəzərdə tutduğunuz mənbəyi göstərirsə və kənarlaşdırılmış mənbə hələ də fasilə ilə bitirsə, qayda məhz əhatəsinin dediyini edir. Müştəridən gələn uğurlu ping bunu heç vaxt nümayiş etdirməzdi və buna görə hər testin istiqaməti nəticəsinin yanında qeydə aiddir. Hər iki istiqaməti biletdə saxlayın, əks halda növbəti oxucu uğursuz ola bilməyən testi təkrarlayacaq.