Proffiliau wal dân a allborth VPN: pam nad yw cyhoeddus yn llwybr
Mae proffil wal dân yn dewis pa set o reolau sy'n berthnasol. Nid yw'n dweud dim am ba ryngwyneb a gariodd y pecyn, ac mae bloc penodol yn curo caniatâd mwy cyfyng.
Mae'r rheol yn swnio'n fanwl: caniatáu traffig lleol ar y proffil preifat a dim ond traffig VPN ar yr un cyhoeddus. Nid yw, oherwydd mae proffil rhwydwaith yn dewis pa set o reolau wal dân sy'n berthnasol ac nid yw'n dweud dim am ba addasydd a gariodd y pecyn. Trin enw'r proffil fel gofyniad llwybr yw'r camgymeriad sy'n gwneud dyluniad allborth cyfyngedig i edrych yn gyflawn pan nad yw.
Ysgrifennwch y llifoedd yn gyntaf, yna penderfynwch pa fecanwaith all orfodi pob un ohonynt mewn gwirionedd. Y rhestr llifoedd honno yw'r unig arteffact sy'n goroesi'r newid rheolau nesaf.
Mae'r categori yn dewis rheolau, nid llwybrau
Pan fydd Windows yn dosbarthu rhwydwaith fel cyhoeddus neu breifat, mae'r wal dân yn cymhwyso'r set reolau a ffurfweddiwyd ar gyfer y proffil hwnnw. Mae'r dosbarthiad yn dilyn y rhwydwaith ymunodd yr addasydd ag ef, ac mae'r set reolau yn penderfynu beth a ganiateir arno. Nid oes yr un o'r ffeithiau hynny'n dibynnu ar a oedd traffig cymhwysiad wedi defnyddio'r twnnel. Yr annibyniaeth honno yw'r anhawster i gyd.
Mae'r llwybro yn gwneud y dewis llwybr, drwy fetrig y rhyngwyneb a'r rhagddodiad y mae'r twnnel yn ei osod. Gall proffil felly gael ei labelu'n gyhoeddus tra bo cysylltiad cymhwysiad yn cymryd y llwybr ffisegol, a bydd y wal dân yn dal i adrodd bod y set reolau gyhoeddus wedi'i chymhwyso.
Dyma pam na all rheol sydd wedi'i chyfyngu i'r proffil olygu twnnel yn unig. Mae'r ddau briodoledd yn cael eu penderfynu gan gydrannau gwahanol ac ni all y naill sefyll dros y llall.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
Mae bloc penodol yn curo caniatâd mwy cyfyng
Mae canllawiau Microsoft ar reolau wal dân yn gwahaniaethu rhwng caniatâd fel eithriad i weithred blocio diofyn a bloc penodol sy'n gwrthdaro â chaniatâd. Mae blociau penodol yn ennill y gwrthdaro hwnnw, ac mae rheolau allan yn ufuddhau i'r un flaenoriaeth.
Felly nid yw'r rysáit boblogaidd o ychwanegu rheol sy'n blocio popeth a dibynnu ar ganiatâd mwy cyfyng uwch ei ben yn gwneud yr hyn mae ei hawdur yn ei ddisgwyl. Nid yw Windows Firewall yn datrys y gwrthdaro drwy drefn rheolau a benodwyd gan y gweinyddwr. Mae'r bloc yn syml yn berthnasol, ac mae'r cymhwysiad sy'n cysylltu yn adrodd terfyn amser. Nid oedd y rheol a edrychai fel yr eithriad byth yn y ras.
Y ffurf a gefnogir yw polisi gwrthod diofyn gyda rheolau caniatâd cymeradwy, lle mae pob caniatâd yn enwi rhaglen, gwasanaeth neu gyrochfan yn ddigon manwl i'w adolygu. Mae'r dyluniad hwnnw'n goroesi archwiliad, oherwydd mae pob eithriad yn weladwy ac nid oes yr un yn dibynnu ar y drefn y'i crëwyd.
Mae dwy reol sy'n gwrthddweud ei gilydd yn waeth nag un rheol, oherwydd mae'r ymddygiad canlyniadol yn gywir ac yn anesboniadwy ar yr un pryd.
Rhowch un perchennog i'r polisi allan
Mae cleient VPN a gefnogir eisoes yn cynnal ei ymddygiad blocio ei hun a'i eithriadau pen y daith ei hun. Gall ychwanegu rheolau llaw heb eu cydlynu adael y cleient hwnnw y tu allan i'r twnnel sydd ei angen arno i osod, neu adael ail lwybr ar agor na sylwodd neb arno.
Penderfynwch pwy sy'n berchen ar y polisi allan cyn ysgrifennu rheolau: ffurfweddiad y cleient ei hun, polisi wal dân a reolir, neu restr eithriadau lleol wedi'i dogfennu gyda pherchennog. Yna cysoni'r haenau yn hytrach na pentyrru arbrofion nes bod rhywbeth yn cysylltu. Enw perchennog yw'r un rydych chi'n gofyn iddo hefyd pan fydd dau haen yn anghytuno.
Cadwch sianel adfer cyn newid unrhyw beth. Mae peiriant o bell wedi'i gloi allan o'i lwybr rheoli ei hun yn ganlyniad gwaeth na'r bwlch polisi roeddech yn ei gau. Mae'r rheol adfer yn haws ei chyfiawnhau pan gaiff ei hysgrifennu ymlaen llaw, ac yn haws ei darganfod pan aiff newid o'i le ar awr nad yw neb yn ei hoffi.
Profwch bedwar canlyniad yn lle darllen y label
Mae polisi mor dda â'r achosion mae'n eu gwahaniaethu, felly triniwch label y proffil fel man cychwyn yn hytrach na chanlyniad. Mae pedwar canlyniad yn dweud wrthych a yw'n gweithio: mae'r cais LAN arfaethedig yn llwyddo, mae cais rhyngrwyd a gwmpesir yn llwyddo, mae cais uniongyrchol gwaharddedig yn methu, ac mae achos methiant y twnnel yn ymddwyn fel y'i dyluniwyd yn hytrach na chilio'n dawel. Ysgrifennwch y pedwar canlyniad wrth ymyl y newid rheolau. Mae cynllun prawf â phedwar achos enwog yn ddigon byr i'w redeg bob tro ac yn ddigon penodol i fethu'n uchel.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
Mae'r gorchymyn cyntaf yn dangos sut mae pob rhwydwaith cysylltiedig yn cael ei ddosbarthu, ac yn aml nid dyma'r hyn a dybiodd y sawl a ysgrifennodd y rheol. Mae'r ail yn dangos y weithred ddiofyn fesul proffil, ac mae'r drydedd yn rhestru blociau allan wedi'u galluogi, gan gynnwys unrhyw rai a fydd yn diystyru caniatâd mwy cyfyng yn dawel.
Rhedwch y pedwar achos eto ar ôl newid rhwydwaith, oherwydd gall proffil gael ei ailddosbarthu pan fydd y peiriant yn ymuno â rhwydwaith gwahanol. Nid yw label proffil sy'n cyfateb yn dystiolaeth mai'r llwybr oedd yr un roeddech yn ei fwriadu.