Windowseko suebakia bakarrik VPN etengailu gisa: eusten dio?
Interfaze motaren araberako arauek adapter fisikoak blokea ditzakete, baina hirugarrenen tunela kableatuta agertu ohi da. Egiaztatu sailkapena, amaierako puntuaren bidea eta gero DNSa.
Galde egizu ea Windowsen suebakiak bakarrik etengailu gisa joka dezakeen eta bi erantzun ziur eta bateraezin jasoko dituzu. Batek dio interfaze motaren arauak lan osoa egiten duela; besteak, scriptik gabe ez duela funtzionatzen. Biek mekanismo beraren erdia deskribatzen dute. Suebakiak blokeoa adieraz dezake, eta emaitzak benetan huts egiten duen itxita hiru gauzaren araberakoa da: Windowsek tunelaren adapterra nola sailkatzen duen, amaierako puntuaren salbuespenak irauten duen eta izenen ebazpena eta IPv6 estalita dauden. Horietako bat gaizki asmatuta, makinak filtratu edo konexio guztia galduko du.
Hiru baldintza, ordena honetan
Lehen baldintza sailkapena da, eta nahi duzun araua adierazgarria den ala ez erabakitzen du. Windows suebakiko arauak interfaze motaren arabera mugatu daitezke: kableatua, haririk gabea edo urruneko sarbidea. Trafiko irtena mota fisikoetan blokeatu eta tunela onartzen duen politika batek soilik funtzionatzen du Windowsek tunela urruneko sarbide gisa aitortzen badu.
Bigarren baldintza amaierako puntuaren salbuespena da. Tunelik egon aurretik, bezeroak VPN zerbitzarira adapter fisikoaren bidez iritsi behar du, beraz adapter horretako blokeo orokorrak blokeoa beharrezkoa ez lukeen konexioa eragozten du. Salbuespenak zerbitzaria eta haren ataka izendatu behar ditu, eta paketeak atebide fisikotik irten behar du, oraindik altxatuta ez dagoen tunel batera sartu beharrean.
Hirugarrena estaldura da. IPv4 blokeatu eta IPv6 ahazten duen arau multzoak, edo amaierako puntuaren bilaketa resolver lokalari baimentzen dionak eta horrela beste edozein bilaketa baimentzen duenak, irekita huts egiten du etengailua estaltzeko sortu zen leihoan bertan. Hori diseinu hutsunea da, ez suebakiko akatsa. Mahaian egindako proba guztiei eusten dien hutsunea ere bada.
Sailkapena da lehen atea
Begiratu zer pentsatzen duen Windowsek adapterrei buruz arau bakarra idatzi aurretik. Windowsen VPN konexio natiboa urruneko sarbide gisa agertu ohi da. Bere adapter birtuala sortzen duen hirugarrenen bezeroa kableatu gisa agertu ohi da, eta horrek esan nahi du adapter kableatuei mugatutako blokeoak tunela ere blokeatzen duela.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionHirugarren komandoak esaten dizu irteerako blokeo lehenetsia indarrean dagoen ala ez, eta horrek diseinuaren forma osoa aldatzen du. Lehenetsia blokeoa bada, baimen arauak idazten ari zara oinarri permisiboaren salbuespenak baino, eta askoz errazagoa da horri buruz arrazoitzea.
Zure tunel adapterra kableatu gisa agertzen bada, suebakia soilik ez da tresna egokia hutsegite itxiko diseinurako, eta arauen doikuntza edozeinek ere ez du hori aldatzen. Foro hari guztietako bigarren iritzia zuzena den kasua da.
Amaierako puntuaren salbuespenak bidea behar du arauaz gain
Demagun sailkapenak funtzionatzen duela. Salbuespena bi piezaz osatuta dago, eta azpisistema ezberdinetan bizi dira. Suebakiko arauak trafikoa baimentzen du; ostalariaren bideak interfaze egokitik ateratzen du tunela behera dagoen bitartean.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32Biderik gabe, salbuespenak soilik laguntzen du bide lehenetsia atebide fisikora oraindik seinalatzen duen bitartean. Bezeroak bere bide lehenetsia instalatu eta gero hiltzen denean, baimendutako paketeek ez dute zentzuzko lekurik joateko eta konexioa ezin da berrezarri. Hutsegite hori bezero hondatu baten itxura du eta benetan falta den bide bat da.
Eutsi salbuespena bezeroak uzten duen bezain estua. Helbide bat eta ataka bat berrikusgarriak dira; hornitzailearen sare osoa hartzen duen barrutia ez. Arau zabalago horrek hornitzaile berean ostatatzen den beste edozer baimentzen du, eta hori normalean pentsatu zenuena baino gehiago da.
DNSa eta IPv6 dira irekita huts egiten duen tokia
Izenen ebazpena da filtratze klasikoa. Amaierako puntua ostalari izena bada, bezeroak tunela existitu aurretik ebatzi behar du, eta horrek esan nahi du adapter fisikoari resolver batera iristeko baimena eman behar zaiola. Baimen berak beste edozein bilaketa ateratzen uzten du tunela behera dagoen bitartean, eta bilaketa bakarra da bisitatzera zihoazena agerrarazteko.
IPv6 da bigarrena. IPv4rako idatzitako arauek ez dute beste familia estaltzen, eta bezero askok IPv4 bideak soilik instalatzen dituzte. Beraz, IPv6 konektibitate natiboa duen makinak internetekin hitz egiten jarrai dezake IPv4 aldea sendo blokeatuta dagoen bitartean, eta etengailuak arrakasta jakinarazten du etengabe.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
Hirugarren errenkada ulertzea merezi du, saihestu beharrean. Suebakiak paketeei buruz erabakitzen du, ez aplikazio batek zein interfaze erabili nahi zuen, eta espresuki lotzen den programa bat zaila izan daiteke kontrolatzen. Horren aldeko argudioa da aplikazioaren azpitik lan egiten duen bezero aldeko etengailua, ez arau gehiago.
Probatu bezeroa geldituz, ez kablea ateraz
Probaren esanahia duen bakarra zaintzen ari zaren hutsegitea imitatzen duena da. Gelditu zerbitzua, hil prozesua edo desgaitu bezeroak sortutako adapterra, eta gero saiatu internetera eta izen bat lortzen:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443Hirurek huts egin beharko lukete. Lehenak arrakasta badu, blokeoa ez dago indarrean; bigarrenak lehenak huts egin zuen tokian arrakasta badu, DNS filtratzea duzu; hirugarrenak arrakasta badu, IPv6 ez dago estalita. Emaitza bakoitzak goiko hutsuneetatik zehazki bat seinalatzen du.
Errepikatu proba esnatu eta berriro hasi ondoren, suebakiko profilak aldatu egin baitaitezke Windowsek sare bat publiko edo pribatu dela erabakitzen duenean, eta profilera mugatutako arauek hari jarraitzen diote. Mahaian eusten duen eta trenean huts egiten duen diseinua behin probatu den diseinua da.
Sailkapen atea edo DNS baldintzak suebaki-soiliko hurbilketa bideraezin bihurtzen badute, bezero aldeko etengailua da erantzun zintzoa. Tunela router batean amaitzen bada, ordea, politikaren jabe routerrak izan behar du, han arau batek atzeko gailu guztiak estaltzen baititu eta ez baitago Windowsek adapterra nola etiketatzen duen araberakoa.