Pam nad yw gât firewall sy'n seiliedig ar gyflwr VPN yn rheol ping trwy'r twnnel yn unig

Dychmygwch reol firewall sy'n troi ICMP echo ymlaen ar gyfer cyfeiriad cyhoeddus y gweinydd pryd bynnag y bo proffil VPN a enwyd wedi'i gysylltu. Mae'n darllen fel „ping trwy'r twnnel yn unig”, ac mae'r darlleniad hwnnw'n anghywir mewn ffordd sy'n bwysig. Nid yw'r rheol yn cyfyngu pwy all gyrraedd y gwesteiwr; mae'n newid beth mae'r rhyngwyneb cyhoeddus yn ei ateb tra bo cysylltiad arall yn digwydd bod yn fyw. Dau bolisi gwahanol yw'r rhain, ac mae un ohonynt yn ymestyn yr amlygiad yn dawel.

Y rheol rydych chi'n meddwl eich bod wedi'i hysgrifennu

Fel arfer mae'r gofyniad a fwriedir yn gul: dylai'r system fonitro, neu'r un gweinyddwr ar y VPN, allu cadarnhau bod y gweinydd yn fyw. Wrth ei ysgrifennu fel brawddeg, mae'n swnio fel rheolaeth mynediad ar y twnnel. Wrth ei ysgrifennu fel gwrthrych firewall, mae'n troi'n amod ar y proffil cyhoeddus, oherwydd dyna lle mae'r cais echo yn cyrraedd.

Unwaith y bydd yr amod yn gyflwr cysylltiad yn hytrach nag yn gyfeiriad ffynhonnell, nid yw'r set o anfonwyr a ganiateir bellach yn set o gyfoedion VPN. Gall unrhyw un sy'n gallu cyrraedd y cyfeiriad cyhoeddus anfon cais echo tra bo'r gât yn agored. Ni ddaeth y twnnel yn llwybr; daeth y twnnel yn swits.

Fel arfer nid yw'r rhai sy'n marchnata'r syniad yn dweud celwydd am yr effaith a oedd ei eisiau. Roedd arnynt angen gwiriad a oedd yn ateb dim ond pan oedd y cyswllt yn iach, a'r ffordd hawsaf i arsylwi iechyd y cyswllt oedd trwy'r VPN. Y camgymeriad yw trin signal argaeledd fel penderfyniad mynediad, ac yna ei awtomeiddio.

Beth mae'r gât yn ei reoli mewn gwirionedd

Mae'r dyluniad hwn yn cyfuno dau beth annibynnol, a'u gwahanu yw'r rhan fwyaf o'r trwsgl. Y cyntaf yw cwmpas: pa gyfeiriad lleol, pa gyfeiriadau pell, pa brotocol a pha fath o ICMP. Yr ail yw amod: a yw gwrthrych y rheol wedi'i alluogi ar hyn o bryd. Cwmpas yw'r hyn y mae firewall yn ei werthuso fesul pecyn; amod yw'r hyn y mae sgript yn ei ysgrifennu i storfa'r polisi, a chysoni'r ddau ar gloceedi hollol wahanol.

Os mai'r gofyniad mewn gwirionedd yw cyfoedion VPN yn unig, mae cwmpas yn ei ateb heb unrhyw resymeg cyflwr cysylltiad: rhwymwch y rheol wrth ryngwyneb y twnnel neu wrth amrediad cyfeiriadau'r twnnel, cyfyngwch y cyfeiriadau pell i bwll y cleientiaid, a nodwch y math echo yn lle „ICMP”. Mae'r rheol honno'n parhau'n gywir pan nad oes VPN ar waith ac ni ellir ei hagor gan broffil amherthnasol.

Os mai gât gyhoeddus yw'r gofyniad mewn gwirionedd, dywedwch hynny yn nhestun y polisi, oherwydd mae'r meini prawf derbyn yn newid. Rhaid i gât gyhoeddus enwi'r proffil union, diffinio beth yw „cysylltiedig”, a datgan bod anfonwyr cyhoeddus o fewn y cwmpas yn ôl y dyluniad. Mae'r rhan fwyaf o'r dryswch yn diflannu ar yr eiliad y gorfodir rhywun i ysgrifennu'r frawddeg honno.

Adeiladwch y gwrthrych unwaith, yna ei doglo

Darparwch un rheol ymlaen llaw gyda hunaniaeth sefydlog, wedi'i hanalluogi, a gadewch i'r rheolydd newid dim ond ei chyflwr wedi'i alluogi. Creu rheolau yn ôl yr enw arddangos ar bob rhediad yw sut mae storfa polisi yn gorffen gyda phum gwrthrych bron yn unfath a heb ffordd ddibynadwy o'u tynnu.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Yr enw yw'r dynodydd parhaus; yr enw arddangos yw dogfennaeth y gall person ei golygu. Cysylltwch ag -Name a bydd y sgript yn rhoi'r gorau i gynhyrchu dyblygiadau. Mae'r un siâp gorchymyn yn cwmpasu achos IPv6 gyda -Protocol ICMPv6 -IcmpType 128, sy'n rheol ar wahân oherwydd bod rhifau math echo yn wahanol rhwng y ddwy deulu.

Cadwch y teulu cyfeiriadau a math ICMP yn benodol am ail reswm: mae -Protocol ICMPv4 heb fath yn caniatáu pob neges ICMPv4 y mae'r proffil yn ei chaniatáu, gan gynnwys y rhai na fwriadwyd i chi eu derbyn erioed. Mae enwi math 8 yn culhau'r rheol i gais echo, sef yr unig beth y mae gwiriad cyrhaeddedd yn ei anfon.

Lle mae'r awtomeiddio'n gwrth-ddweud y bwriad

Ni all holi proffil cleient bob ychydig funudau gynhyrchu ffin ar unwaith. Rhwng cwympo'r cysylltiad a'r arolwg nesaf mae'r rheol yn dal i ateb ar y cyfeiriad cyhoeddus; rhwng codi'r cysylltiad a'r arolwg nesaf nid yw'n ateb. Mae datgan yr oedi hwnnw'n onest, ac nid yw honni bod y dyluniad yn gorfodi annatodyn caeth.

Mae trap cwmpas yn y gwiriad cyflwr ei hun. Mae Get-VpnConnection yn adrodd am broffiliau cleient sydd wedi'u ffurfweddu ar y peiriant, yn ôl y rhagosodiad ar gyfer y defnyddiwr presennol ac ar gyfer pob defnyddiwr gyda -AllUserConnection. Nid yw'n adrodd am y defnyddwyr pell sydd ar hyn o bryd wedi deialu i mewn i weinydd RRAS; arsylwad gwahanol gyda gorchymyn gwahanol yw hwnnw. Nid yw gât a adeiladwyd ar yr un anghywir wedi'i chysylltu â dim.

Yna cwmpaswch y cyflyrau nad oes neb yn sgriptio: cychwyn gyda'r rheol eisoes wedi'i galluogi o rediad blaenorol, damwain y rheolydd tra bo'r gât yn agored, a phroffil wedi'i ddileu tra bo ei reol yn parhau'n fyw. Mae angen rhagosodiad diffiniedig ar bob un, a'r rhagosodiad diogel ar gyfer caniatâd cyhoeddus yw wedi'i analluogi. Os nad yw'r gofyniad mewn gwirionedd yn gallu goddef yr ysbaid holi, y gwrthrych anghywir yw rheol sy'n seiliedig ar gyflwr, ac mae'r gorfodi yn perthyn i'r twnnel, nid i'r rhyngwyneb cyhoeddus.

Yn olaf, profwch y cais cyhoeddus ddwywaith, unwaith gyda'r cysylltiad a ddewiswyd i fyny ac unwaith gydag ef i lawr, o westeiwr nad yw ar y VPN. Nid yw ping llwyddiannus o fewn y twnnel yn profi dim am y polisi hwn, a dyna'r mesuriad y mae'r rhan fwyaf o ddefnyddiadau yn ei hepgor.