Zergatik VPN egoerari lotutako suebaki atea ez den ping tunel batetik soilik egiteko araua

Imajinatu suebaki-arau bat, zerbitzariaren helbide publikorako ICMP echo pizten duena VPN profil izendatu bat konektatuta dagoen bakoitzean. «Ping tunel batetik soilik» irakurtzen da, eta irakurketa hori okerra da axola duen modu batean. Arauak ez du mugatzen nork har dezakeen ostalarira; interfaze publikoak zer erantzuten duen aldatzen du, beste konexio bat martxan dagoen bitartean. Bi politika desberdin dira, eta batek isilean zabaltzen du esposizioa.

Idatzi zenuela uste duzun araua

Helburuko baldintza normalean estua da: monitorizazio-sistemak, edo VPN-ko administratzaile bakarrak, zerbitzaria bizirik dagoela baieztatu ahal izan behar du. Esaldi gisa idatzita, tunelaren sarbide-kontrola dirudi. Suebaki-objektu gisa idatzita, profil publikoan baldintza bat bihurtzen da, echo eskaera hara iristen baita.

Baldintza konexio-egoera denean eta ez helbide iturria, baimendutako bidaltzaileen multzoa ez da VPN kideen multzoa aurrerantzean. Helbide publikora irits daitekeen edonork echo eskaera bat bidal dezake atea irekita dagoen bitartean. Tunela ez zen bidea bihurtu; tunela etengailua bihurtu zen.

Ideia hau bultzatzen dutenek normalean ez dute gezurrik esaten nahi zuten efektuaz. Lotura osasuntsu dagoenean soilik erantzuten zuen egiaztapen bat behar zuten, eta loturaren osasuna VPN bidez behatzeko errazena zen. Akatsa erabilgarritasun-seinale bat sarbide-erabaki gisa hartzea da, eta gero automatizatzea.

Zer kontrolatzen duen ateak benetan

Diseinu honek independenteak diren bi gauza bateratzen ditu, eta horiek bereiztea da zuzenketaren zatirik handiena. Lehenengoa irismena da: zein tokiko helbide, zein urruneko helbide, zein protokolo eta zein ICMP mota. Bigarrena baldintza da: arauaren objektua une honetan gaituta dagoen ala ez. Irismena da suebakiak pakete bakoitzeko ebaluatzen duena; baldintza da script batek politika-biltegian idazten duena, eta biak erloju erabat desberdinetan adosten dira.

Baldintza benetan VPN kideak soilik bada, irismenak erantzuten dio konexio-egoeraren logikarik gabe: lotu araua tunelaren interfazera edo tunelaren helbide-tartera, mugatu urruneko helbideak bezeroen multzora, eta zehaztu echo mota «ICMP»-en ordez. Arau hori zuzena izaten jarraitzen du VPNik aktibo ez dagoenean, eta ezin du erlaziorik gabeko profil batek ireki.

Baldintza benetan ate publikoa bada, esan hori politikaren testuan, onarpen-irizpideak aldatzen baitira. Ate publikoak profil zehatza izendatu behar du, «konektatuta» zer esan nahi duen definitu, eta bidaltzaile publikoak diseinuz irismenaren barruan daudela adierazi. Nahasmenaren zatirik handiena desagertzen da norbaitek esaldi hori idaztera behartuta dagoen unean.

Eraiki objektua behin, eta gero txandakatu

Aurreko baimendu arau bakarra identitate egonkorrarekin, desgaituta, eta utzi kontrolatzaileari haren gaitze-egoera soilik aldatzen. Exekuzio bakoitzean bistaratzeko izenaren arabera arauak sortzea da politika-biltegi bat bost objektu ia berdin-berdinekin eta haiek kentzeko modu fidagarririk gabe amaitzeko bidea.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Izena identifikatzaile iraunkorra da; bistaratzeko izena gizakiak editatu dezakeen dokumentazioa da. Ados jarri -Name-ekin eta scriptak utziko dio bikoiztuak sortzeari. Komando-forma berak IPv6 kasua estaltzen du -Protocol ICMPv6 -IcmpType 128-ekin, baina arau bereizia da, echo motaren zenbakiak familia bien artean desberdinak baitira.

Helbide-familia eta ICMP mota esplizitu mantendu bigarren arrazoi batengatik: -Protocol ICMPv4 motarik gabe profilak onartzen duen ICMPv4 mezu guztia baimendu egiten du, inoiz onartzeko asmorik izan ez zenituenak barne. 8 mota izendatzeak araua echo eskaerara murrizten du, eta hori da irisgarritasun-egiaztapen batek bidaltzen duen gauza bakarra.

Non automatizazioak asmoari kontra egiten dion

Bezero-profil bat minutu batzuetan behin inkestatzeak ezin du muga berehalakorik sortu. Konexioa erori eta hurrengo inkestaren artean arauak helbide publikoan erantzuten jarraitzen du; konexioa altxatu eta hurrengo inkestaren artean ez du erantzuten. Atzerapen hori aitortzea zintzoa da, eta diseinuak inbariante zorrotza inposatzen duela esatea ez da zintzoa.

Egoera-egiaztapenaren beraren barruan irismen-tranpa bat dago. Get-VpnConnection makinan konfiguratutako bezero-profilak jakinarazten ditu, lehenespenez uneko erabiltzailearentzat eta erabiltzaile guztientzat -AllUserConnection-ekin. Ez ditu jakinarazten RRAS zerbitzari batera une honetan markatzen ari diren urruneko erabiltzaileak; hori beste behaketa bat da, beste komando batekin. Okerraren gainean eraikitako atea ez dago ezeri konektatuta.

Ondoren estali inork scriptatzen ez dituen egoerak: abiaraztea aurreko exekuzio batetik jada gaituta dagoen arauarekin, kontrolatzailearen matxura atea irekita dagoela, eta profila ezabatu baina haren araua bizirik jarraitzea. Bakoitzak lehenetsi zehaztu bat behar du, eta baimen publiko baterako lehenetsi segurua desgaituta egotea da. Baldintzak inkesta-leihoa benetan jasaten ez badu, egoerari lotutako araua tresna okerra da eta betearazpena tunelari dagokio, ez interfaze publikoari.

Azkenik, probatu eskaera publikoa birritan, behin hautatutako konexioa martxan dagoela eta behin hura jaitsita, VPN-n ez dagoen ostalari batetik. Tunelaren barrutik ping arrakastatsuak ez du ezer frogatzen politika honi buruz, eta horixe da inplementazio gehienek saltatzen duten neurketa.