Interruptor de seguretat a Windows sense programari extra: perfils o rutes?

Els perfils del tallafoc segueixen la categoria de la xarxa, les rutes segueixen l’adaptador. Compareu tots dos mètodes i després proveu el cas de fallada amb el túnel absent i la icona mentint.

El client mor a mig descàrrega i la icona de la safata desapareix. La transferència continua per la connexió de casa. Aquesta seqüència és la raó per la qual existeix un interruptor de seguretat, i Windows pot aproximar-s’hi sense un segon producte.

Val la pena conèixer dos mètodes. Fallen en llocs diferents, i cap dels dos no és una resposta completa.

Mètode u: permetre el programa en un sol perfil

El tallafoc de Windows limita les regles als perfils Domain, Private i Public. El truc és donar una categoria a l’adaptador del túnel i una altra a l’adaptador físic. Després escriviu una regla de sortida que permet el programa protegit al perfil del túnel i el bloqueja a qualsevol altre lloc. El tallafoc llegeix la categoria, no el nom de l’adaptador.

Primer poseu la connexió VPN a Private i la xarxa física a Public. Després afegiu una regla de bloqueig per al programa que s’apliqui als perfils que no voleu. Confirmeu l’assignació després amb Get-NetConnectionProfile, perquè és aquesta assignació la que segueix la regla.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

La feblesa és estructural. Una regla de perfil segueix la categoria, així que quan Windows reclasifica una xarxa d’hotel, el bloqueig pot deixar d’aplicar-se. Res de la llista de regles no canvia quan això passa.

Mètode dos: eliminar la ruta predeterminada física

L’enfocament per rutes és més contundent i molt més fàcil d’auditar. Anoteu la passarel·la física, deixeu que la VPN instal·li la seva pròpia ruta predeterminada amb una mètrica més baixa i després suprimiu la predeterminada física. Res més no podrà transportar trànsit.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Quan el client mor, la ruta de la VPN marxa amb el seu adaptador. La màquina queda fora de línia en lloc de filtrar dades, que és el que ha de produir un interruptor de seguretat.

Dos detalls decideixen si aguanta una setmana. El DHCP torna a posar la passarel·la sempre que l’enllaç trontolla. Un adaptador físic amb adreça estàtica evita aquesta sorpresa. L’adreça del mateix servidor VPN també ha de romandre accessible. Sense aquest camí fins a l’amfitrió, el client no es podrà tornar a connectar mai després de la caiguda que va activar el bloqueig.

Mètode tres: sense passarel·la, una ruta persistent a l’amfitrió

La tercera opció comença esborrant la passarel·la de la configuració de l’adaptador. Després la substitueix una única ruta persistent fins al punt final de la VPN. La màquina pot llavors parlar amb el servidor i amb res més fins que el túnel s’aixequi.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Restaurar la passarel·la restaura la internet normal, cosa que el converteix en un interruptor net d’engegada i aturada. No depèn d’un script que vigili els esdeveniments de la interfície. També li és igual com es categoritza la xarxa.

El cost és un aïllament total mentre el túnel està aturat. Les actualitzacions s’aturen, i també la mateixa descàrrega que va motivar l’exercici. En un portàtil de feina sovint és correcte, mentre que en una màquina personal és una decisió que cal prendre deliberadament.

Per què la icona del globus no demostra res

Windows informa de l’accessibilitat mitjançant una sonda contra un punt final de Microsoft. Aquesta sonda no diu res sobre el vostre túnel. Un túnel connectat pot quedar darrere d’un globus que informa que no hi ha internet, i un de mort pot mostrar una connexió sana.

Proveu de matar el procés del client i després intenteu arribar a una adreça pública pel número. Una consulta de nom es pot respondre des de la memòria cau, així que ni la icona ni una resposta DNS no són proves.

Què cal enregistrar després d’una caiguda real

Feu la prova com una seqüència i no com una sola comprovació. Mateu el procés en lloc de desconnectar i després proveu una adreça numèrica a les dues famílies. Restaureu el client després i confirmeu que encara pot arribar al seu servidor per la ruta que heu conservat.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Repetiu la seqüència després de la suspensió, després d’un canvi de Wi-Fi i després de passar de cable a sense fil. Aquestes transicions són on fallen alhora el mètode del perfil i el comportament del DHCP. Una regla que aguanta en un escriptori no aguanta necessàriament en un hotel.

Escriviu el pas de desfer al costat de cada regla i ruta. Microsoft documenta la creació de regles de sortida a la seva referència de regles del tallafoc de Windows, i és una font millor que un tutorial fet només amb captures de pantalla.

Articles relacionats