Firewallprofielen tsjin VPN-útgong: wêrom iepenbier gjin paad is
In firewallprofyl kiest hokker regelset jildt. It seit neat oer hokker ynterface it pakket droegen hat, en in eksplisite blokkade wint fan in smeller talitting.
De regel klinkt presys: lit lokaal ferkear ta op it partikuliere profyl en allinnich VPN-ferkear op it iepenbiere. Dat is it net, want in netwurkprofyl kiest hokker firewallregelset jildt en seit neat oer hokker adapter in pakket droegen hat. De profylnamme as in paadfoarm behannelje is de flater dy't in ûntwerp mei beheinde útgong klear lykje lit wylst it dat net is.
Skriuw earst de streamen op en beslút dan hokker meganisme elk fan harren wier ôftwinge kin. Dy streamlist is it iennige artefakt dat de folgjende regelwiziging oerlibbet.
De kategory kiest regels, gjin rûtes
As Windows in netwurk as iepenbier of partikulier klassifisearret, past de firewall de regelset ta dy't foar dat profyl ynsteld is. De klassifikaasje folget it netwurk dêr't de adapter him by oansletten hat, en de regelset beslút wat dêr tastien is. Gjin fan dy feiten hinget ôf fan de fraach oft it ferkear fan in applikaasje de tunnel brûkt hat. Krekt dy ûnôfhinklikens is de hiele swierrichheid.
De paadkar wurdt makke troch routing, fia de ynterfacemetrik en it foarheaksel dat de tunnel ynstallearret. In profyl kin dêrom as iepenbier markearre wêze wylst de ferbining fan in applikaasje it fysike paad nimt, en de firewall sil noch altyd melde dat de iepenbiere regelset tapast is.
Dêrom kin in regel dy't ta it profyl beheind is net allinnich tunnel betsjutte. De beide eigenskippen wurde troch ferskate komponinten besletten en de iene kin de oare net ferfange.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
In eksplisite blokkade giet foar in smeller talitting
De rjochtlinen fan Microsoft foar firewallregels meitsje ûnderskie tusken in talitting as útsûndering op in standertblokkade-aksje en in eksplisite blokkade dy't botst mei in talitting. Eksplisite blokkades winne dy botsing, en útgeande regels folgje deselde foarrang.
Dat it populêre resept om in regel ta te foegjen dy't alles blokkearret en te fertrouwen op in smeller talitting derboppe docht dus net wat de skriuwer ferwachtet. Windows Firewall lost de botsing net op troch de regeloarder dy't de administrator tawiisd hat. De blokkade jildt gewoan, en de ferbinende applikaasje meldt in tiidferrin. De regel dy't op de útsûndering like, wie nea yn it spul.
De stipe foarm is in standert-wegeringsbelied mei goedkarde talitingsregels, wêrby't elke talitting in programma, in tsjinst of in bestimming krekt genôch neamt om neisjoen te wurden. Dat ûntwerp oerlibbet in audit, want elke útsûndering is sichtber en gjin fan harren hinget ôf fan de oarder wêryn't se makke binne.
Twa regels dy't elkoar tsjinsprekke binne slimmer as ien regel, want it úteinlike gedrach is tagelyk korrekt en net te ferklearjen.
Jou it útgeande belied ien eigner
In stipe VPN-klant ûnderhâldt al syn eigen blokkadegedrach en syn eigen útsûnderings foar einpunten. It tafoegjen fan net-koördinearre hânmjittige regels kin dy klant bûten de tunnel bringe dy't er foar de ynstelling nedich hat, of in twadde paad iepen litte dat nimmen opmurken hat.
Beslút wa't it útgeande belied besit foar't jo regels skriuwe: de eigen konfiguraasje fan de klant, in beheard firewallbelied of in dokumintearre lokale útsûnderingslist mei in eigner. Ferienigje dan de lagen ynstee fan eksperiminten te steapeljen oant der eat ferbynt. In neamde eigner is ek wa't jo freegje as twa lagen it net iens binne.
Bewarje in werstelkanaal foar't jo eat feroarje. In op ôfstân masine dy't bûten syn eigen behearpaad sletten is, is in slimmer resultaat as it beliedsgat dat jo tichthellen. De werstelregel is makliker te ferantwurdzjen as er fan tefoaren opskreaun is, en makliker te finen as in feroaring misrint op in oere dy't nimmen moai fynt.
Test fjouwer útkomsten ynstee fan it label te lêzen
In belied is mar sa goed as de gefallen dy't it ûnderskiedt, dus behannelje it profyllabel as in útgongspunt ynstee fan in resultaat. Fjouwer útkomsten fertelle jo oft it wurket: it bedoelde LAN-fersyk slagget, in dekt ynternetfersyk slagget, in ferbean direkte fersyk mislearret, en it gefal fan tunnelskoarring gedraacht him sa't it ûntwurpen is ynstee fan stil werom te fallen. Skriuw de fjouwer resultaten njonken de regelwiziging. In testplan mei fjouwer neamde gefallen is koart genôch om elke kear te draaien en spesifyk genôch om lûd te mislearjen.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
It earste kommando lit sjen hoe't elk ferbûn netwurk klassifisearre is, wat faak net is wat de persoan dy't de regel skreau oannommen hie. It twadde lit de standertaksje per profyl sjen, en it tredde listet ynskeakele útgeande blokkades op, ynklusyf dyjinge dy't stil in smeller talitting omsmite.
Draf de fjouwer gefallen op nij nei in netwurkferoaring, want in profyl kin op nij klassifisearre wurde as de masine him by in oar netwurk oanslút. In oerienkommend profyllabel is gjin bewiis dat it paad dat wie dat jo bedoelden.