Mae ping yn gweithio un ffordd: pam mae Windows yn gollwng eco'r gweinydd

Mae eich cleient yn pingio'r gweinydd, ni all y gweinydd pingio'r cleient, ac mae'r twmffat yn amlwg yn cario pecynnau yn y ddau frawddeg hynny. Yr hyn sy'n wahanol yw nid y llwybr ond pecyn cyntaf pob prawf: un yw ateb i lif y mae Windows eisoes yn ei ddilyn, a'r llall yn gais newydd sy'n dod i mewn na chyfaddefodd unrhyw reol. Mae'r gwahaniaeth hwnnw'n esbonio'r rhan fwyaf o adroddiadau ping unffordd ac yn pwyntio'n syth at y rheol y mae'n rhaid i chi ei hysgrifennu. Mae dau brawf mewn cyfeiriadau croes yn gwahanu'r achosion mewn tua munud.

Dau gyfeiriad, dau benderfyniad gwahanol

Pan fydd y cleient yn anfon y cais eco, mae wal dân Windows yn gweld cysylltiad allan y mae wedi penderfynu ei ganiatáu. Daw'r ateb yn ôl y tu mewn i'r llif sefydledig hwnnw, felly mae'r peiriant sy'n olrhain cyflwr yn ei dderbyn heb ymgynghori ag unrhyw reol fewnol ar gyfer ICMP. Dyna beth yw hidlo cyflwr yn ymarferol, ac nid yw'r rheol na ysgrifennodd neb yn rhan o hyn. Felly nid yw llwyddiant y cleient yn dweud dim am y polisi sy'n dod i mewn.

Pan fydd y gweinydd yn anfon y cais gyntaf, nid oes unrhyw gyflwr yn cyfateb iddo. Mae Windows yn trin y pecyn fel cysylltiad newydd sy'n dod i mewn ac yn gofyn i'r polisi sy'n dod i mewn, nad yw'n rhagweld dim ar gyfer ceisiadau eco o ffynonellau mympwyol.

Felly profodd llwyddiant y cleient fod ICMP allan a'r llwybr dychwelyd yn gweithio. Ni chafodd y penderfyniad sy'n dod i mewn ei brofi o gwbl, ac mae'r casgliad naturiol, bod y wal dân yn iawn, yn resymol ac yn anghywir. Dyna pam mae'r camgymeriad yn ailadrodd mewn tocynnau sydd eisoes yn cynnwys y dystiolaeth.

Dilynwch y pecyn nes iddo ddiflannu

Cadarnhewch y cyfeiriadau cyn newid unrhyw beth: defnyddiwch y cyfeiriad twmffat sydd gan y cleient mewn gwirionedd, a gwiriwch fod y gweinydd yn llwybro iddo ef yn hytrach nag i gyfeiriad LAN y tu ôl i'r cleient. Mae'r ddau fethiant yn edrych yn unfath o prompt y gweinydd, oherwydd bod y ddau yn gorffen mewn cyfnod aros. Lle mae'r pecyn yn marw yw'r unig ffaith sy'n penderfynu beth i'w newid.

Os yw'r cais yn cyrraedd rhyngwyneb y twmffat ac nad oes dim yn gadael, y wal dân leol yw'r rheswm tebygol. Os nad yw byth yn cyrraedd y rhyngwyneb, mae'r ateb i fyny'r afon: llwybr ar y gweinydd, polisi allan, neu gyflenwi cymar y VPN ei hun.

Cipiwch ar ryngwyneb twmffat y cleient tra mae'r gweinydd yn pingio. Gweld y cais yn cyrraedd heb ateb wrth ei ochr yw'r dystiolaeth sy'n cyfiawnhau ysgrifennu rheol Windows. Mae gweld dim o gwbl yn eich anfon i fyny'r afon, ac mae rheol a ychwanegwyd yn y cyflwr hwnnw ond yn gwneud y peiriant yn fwy caniataol i becyn na chyrhaeddodd erioed. Yn y naill ffordd neu'r llall mae'r cipio'n costio llai na'r dyfalu y mae'n ei ddisodli.

Cyfyngu un rheol yn lle agor ICMP

Nodwch yr addasydd a'i gategori presennol cyn ysgrifennu unrhyw beth, oherwydd mae'r ddau yn ymddangos yn y cwmpas rydych ar fin ei osod. Yr alias hwnnw yw enw rhyngwyneb Windows, nad yw o reidrwydd yn enw'r proffil VPN a fewnforiwyd gennych. Mae'r gorchmynion isod yn rhestru beth sy'n bodoli, yna'n rhagweld rheol gyfyngedig heb ei chymhwyso.

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 math 8 yw'r cais eco, yr unig neges y mae angen i'r gweinydd ei hateb. Cyfyngwch ef i gyfeiriad twmffat y gweinydd ac i ryngwyneb y twmffat, a gadewch y proffil fel y mae'r addasydd mewn gwirionedd. Mae ailenwi rhwydwaith i gyd-fynd ag enghraifft yn newid ar wahân gyda'i ganlyniadau ei hun.

Beth nad yw'r rheol yn ei gwmpasu

Mae eco IPv6 yn brotocol gwahanol â math neges gwahanol, felly nid yw rheol ICMPv4 yn dweud dim amdano, ac mae angen rheol ei hun ar gyfer y llall ar dwmffat sy'n cario'r ddau deulu. Nid yw'r rheol hon yn agor dim arall chwaith: mae RDP, rhannu ffeiliau a phob gwasanaeth arall yn dal i ddibynnu ar eu polisi eu hunain. Dyna'r pwynt cyfan o gyfyngu un rheol gul yn lle galluogi caniatâd ICMP eang. Y caniatâd eang yw'r atgyweiriad hawdd a'r un sy'n para hiraf, oherwydd nad oes neb yn ei sylwi wedyn.

Ar ddyfais a reolir gellir disodli'r rheol yn yr adnewyddiad polisi nesaf, felly rhaid i berchnogion y polisi wneud y newid cyfatebol yn hytrach na gweinyddwr lleol. Ysgrifennwch y bwriad yn y tocyn yn ogystal â'r gorchymyn, oherwydd bydd adnewyddiad yn dileu'r gorchymyn ac yn gadael y gofyniad yn gyfan. Nid yw'r ddau yr un artifact, a dim ond un ohonynt sy'n goroesi.

Darllenwch y canlyniad yn y cyfeiriad cywir

Ar ôl i'r rheol fod yn weithredol, pingiwch o'r gweinydd a chadarnhewch fod ateb yn cyrraedd y cleient, yna pingiwch o ffynhonnell y dylid ei heithrio o hyd a chadarnhewch nad yw'n cyrraedd. Ailadroddwch y prawf cyrhaeddiad ar y teulu cyfeiriad arall os yw'r twmffat yn cario un.

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

Mae argraffu'r rheol a ddaeth i rym yn fwy defnyddiol na choelio'r gorchymyn a'i creodd, oherwydd bod rhagolwg a rheol gymhwysol yn gyflyrau gwahanol. Os yw'r hidlydd cyfeiriadau'n dangos y ffynhonnell a fwriadwyd gennych ac mae'r ffynhonnell a eithriwyd yn dal i ddod i ben mewn cyfnod aros, mae'r rheol yn gwneud yn union yr hyn y mae ei chwmpas yn ei ddweud. Ni fyddai ping llwyddiannus o'r cleient wedi dangos hynny erioed, a dyna pam mae cyfeiriad pob prawf yn perthyn yn y cofnod wrth ei ganlyniad. Cadwch y ddau gyfeiriad yn y tocyn, neu bydd y darllenydd nesaf yn ailadrodd y prawf na all fethu.