Suhormaren profilak eta VPN irteera: zergatik publikoa ez den bide bat
Suhormaren profil batek zein arau-multzo aplikatzen den aukeratzen du. Ez du ezer esaten paketea zein interfazek eraman zuen, eta blokeo esplizitu batek baimen estuagoa gainditzen du.
Arauak zehatza dirudi: baimendu trafiko lokala profil pribatuan eta VPN trafikoa soilik publikoan. Ez da, sare-profil batek zein suhormaren arau-multzo aplikatzen den aukeratzen duelako eta ez duelako ezer esaten paketea zein adapterrek eraman zuen. Profilaren izena bide-baldintza gisa tratatzea da irteera murriztuko diseinua amaituta ez dagoenean amaituta ematen duen akatsa.
Idatzi lehenengo fluxuak, eta gero erabaki zein mekanismok ezar dezakeen benetan bakoitza. Fluxu-zerrenda hori da hurrengo arau-aldaketak bizirik irauten duen artefaktu bakarra.
Kategoriak arauak aukeratzen ditu, ez bideak
Windowsek sare bat publiko edo pribatu gisa sailkatzen duenean, suhormak profil horretarako konfiguratutako arau-multzoa aplikatzen du. Sailkapenak adapterra batu zen sarea jarraitzen du, eta arau-multzoak erabakitzen du han zer den baimenduta. Gertaera horietako batek ere ez du aplikazio baten trafikoak tunela erabili zuen ala ez. Independentzia hori da zailtasun osoa.
Bidearen hautua bideratzeak egiten du, interfazearen metrikaren eta tunelek instalatzen duen aurrizkiaren bidez. Profil bat publiko gisa etiketa daiteke, aplikazio baten konexioak bide fisikoa hartzen duen bitartean, eta suhormak oraindik jakinaraziko du arau-multzo publikoa aplikatu zela.
Horregatik profilean mugatutako arau batek ezin du tunela soilik esan nahi. Bi propietateak osagai desberdinek erabakitzen dituzte eta batek ezin du bestea ordezkatu.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
Blokeo esplizitu bat baimen estuagoaren gainetik dago
Microsoften suhormaren arauei buruzko gidak bereizten du baimen bat blokeo-ekintza lehenetsiaren salbuespen gisa eta baimen batekin gatazkan dagoen blokeo esplizitu batetik. Blokeo esplizituek gatazka hori irabazten dute, eta irteera-arauak lehentasun berari men egiten diote.
Beraz, dena blokeatzen duen arau bat gehitu eta haren gainean jarritako baimen estuagoan fidatzearen errezeta ezagunak ez du egileak espero duena egiten. Windows Firewall-ek ez du gatazka administratzaileak emandako arau-ordenaren arabera konpontzen. Blokeoa besterik gabe aplikatzen da, eta konektatzen ari den aplikazioak denbora-muga jakinarazten du. Salbuespena zirudien araua ez zen inoiz jokoan egon.
Onartutako forma uko egite lehenetsiko politika bat da, onartutako baimen-aruekin, non baimen bakoitzak programa, zerbitzu edo helmuga nahikoa zehaztasunez izendatzen duen berrikusi ahal izateko. Diseinu horrek auditoria gainditzen du, salbuespen guztiak ikusgai daudelako eta horietako bat ere ez delako sortu ziren ordenaren mende.
Elkarri kontra egiten dioten bi arau arau bat baino okerragoak dira, lortutako portaera aldi berean zuzena eta azaldu ezina delako.
Eman irteera-politikari jabe bakarra
Onartutako VPN bezero batek bere blokeo-portaera eta bere amaierako puntuen salbuespenak mantentzen ditu jadanik. Koordinatu gabeko eskuzko arauak gehitzeak bezero hori konfiguratzeko behar duen tunelaren kanpoan gera dezake, edo inork nabaritu ez zuen bigarren bide bat irekita utz dezake.
Erabaki irteera-politikaren jabea nor den arauak idatzi aurretik: bezeroaren konfigurazio propioa, kudeatutako suhormaren politika bat edo jabea duen tokiko salbuespen-zerrenda dokumentatu bat. Gero bateratu geruzak, esperimentuak pilatu beharrean zerbait konektatu arte. Izena duen jabea da bi geruzak ados ez daudenean galdetzen zaiona.
Mantendu berreskuratze-kanal bat ezer aldatu aurretik. Bere kudeaketa-bidetik kanpo blokeatuta dagoen urruneko makina bat itxi nahi zenuen politika-hutsunea baino emaitza okerragoa da. Berreskuratze-araua errazago justifikatzen da aldez aurretik idatzita dagoenean, eta errazago aurkitzen da aldaketa batek inork atsegin ez duen ordu batean huts egiten duenean.
Probatu lau emaitza etiketa irakurri beharrean
Politika bat bereizten dituen kasu bezain ona da, beraz tratatu profilaren etiketa abiapuntu gisa, ez emaitza gisa. Lau emaitzek esaten dute funtzionatzen duen: aurreikusitako LAN eskaerak arrakasta du, estalitako internet eskaera batek arrakasta du, debekatutako zuzeneko eskaera batek huts egiten du, eta tunelaren hutsegite kasuak diseinatu bezala jokatzen du isil-isilik atzera egin beharrean. Idatzi lau emaitzak arau-aldaketaren ondoan. Lau kasu izendatutako proba-plan bat nahikoa labur da aldiro exekutatzeko eta nahikoa zehatza ozen huts egiteko.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
Lehen komandoak konektatutako sare bakoitza nola sailkatuta dagoen erakusten du, eta hori sarritan ez da araua idatzi zuen pertsonak suposatu zuena. Bigarrenak profil bakoitzeko ekintza lehenetsia erakusten du, eta hirugarrenak gaitutako irteera-blokeoak zerrendatzen ditu, baimen estuago bat isil-isilik baliogabetuko dutenak barne.
Exekutatu berriro lau kasuak sare-aldaketa baten ondoren, profil bat berriro sailka baitaiteke makina beste sare batera batzen denean. Bat datorren profil-etiketa ez da frogatzen bidea zuk nahi zenuena zela.