Wêrom't in fjoerwâlpoarte bûn oan VPN-steat gjin regel is foar ping allinnich troch de tunnel

Stel jo in fjoerwâlregel foar dy't ICMP-echo foar it iepenbiere adres fan de tsjinner oanset sa gau as in neamd VPN-profyl ferbûn is. It lêst as „ping allinnich troch de tunnel”, en dy lêzing is ferkeard op in manier dy't fan belang is. De regel beheint net wa't de host berikke mei; hy feroaret wat de iepenbiere ynterface antwurdet wylst in oare ferbining tafallich oan is. Dat binne twa ferskillende belieden, en ien fan har ferbreedt de bleatstelling stilwei.

De regel dy't jo tinke dat jo skreaun hawwe

De bedoelde eask is meastentiids smel: it monitorsysteem, of de iennige administrateur op it VPN, moat befêstigje kinne dat de tsjinner libbet. Skreaun as in sin klinkt it as tagongskontrôle op de tunnel. Skreaun as fjoerwâlobjekt wurdt it in betingst op it iepenbiere profyl, want dêr komt it echo-fersyk oan.

Sadree't de betingst in ferbiningsteat is ynstee fan in boarneadres, is de set tastiene ôfstjoerders net mear de set VPN-peers. Elkenien dy't it iepenbiere adres berikke kin, kin in echo-fersyk stjoere wylst de poarte iepen is. De tunnel waard net it paad; de tunnel waard de skeakel.

De minsken dy't dit idee promootje lige meastentiids net oer it effekt dat se woene. Se hiene in kontrôle nedich dy't allinnich antwurdet as de ferbining sûn is, en de sûnens fan 'e ferbining wie it maklikst fia it VPN te observearjen. De flater is in beskikberenssinjaal as in tagongsbeslút te behanneljen en dat dan te automatisearjen.

Wat de poarte eins regelet

Dizze opset smeltet twa ûnôfhinklike dingen gear, en se skiede is it grutste part fan 'e reparaasje. It earste is berik: hokker lokaal adres, hokker fiere adressen, hokker protokol en hokker ICMP-type. It twadde is betingst: oft it regelobjekt op dit stuit oanset is. Berik is wat in fjoerwâl per pakket beheart; betingst is wat in skript yn 'e beliedsopslach skriuwt, en de twa wurde op folslein ferskillende klokken ôfstimd.

As de eask wier allinnich VPN-peers is, antwurdet berik dêrop sûnder hokker ferbiningsteat-logika dan ek: byn de regel oan 'e tunnel-ynterface of oan it tunneladresberik, behein de fiere adressen ta de kliïntpool, en jou it echo-type op ynstee fan „ICMP”. Dy regel bliuwt korrekt as gjin VPN oan is en kin net troch in oar profyl iepene wurde.

As de eask wier in iepenbiere poarte is, sis dat dan yn 'e beliedstekst, want de akseptakriteria feroarje. In iepenbiere poarte moat it krekte profyl neame, definiearje wat ferbûn betsjut, en ferklearje dat iepenbiere ôfstjoerders neffens it ûntwerp yn it berik sitte. It measte fan 'e betizing ferdwynt op it stuit dat immen twongen wurdt dy sin op te skriuwen.

Bou it objekt ien kear en skeakelje it dan

Foarsis ien regel mei in stabile identiteit, útskeakele, en lit de kontrolleur allinnich de oansette steat feroarje. Regels oanmeitsje op fertoannamme by elke rin is hoe't in beliedsopslach einiget mei fiif hast identike objekten en gjin betroubere manier om se fuort te heljen.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

De namme is de duorsume identifikaasje; de fertoannamme is dokumintaasje dy't in minske bewurkje mei. Stim ôf op -Name en it skript hâldt op mei duplikaten meitsjen. Deselde foarm fan opdracht dekt it IPv6-gefal mei -Protocol ICMPv6 -IcmpType 128, mar dat is in aparte regel, om't de echo-typenûmers tusken de twa famyljes ferskille.

Hâld de adresfamylje en it ICMP-type eksplisyt om in twadde reden: -Protocol ICMPv4 sûnder type lit elke ICMPv4-berjocht ta dat it profyl tastiet, ek dy't jo nea fan doel wiene te akseptearjen. Type 8 neame ferneauteret de regel ta echo-fersyk, en dat is it iennige dat in berikberenskonrole stjoert.

Dêr't de automatisearring it doel tsjinsprekt

In kliïntprofyl elke pear minuten freegje kin gjin direkte grins meitsje. Tusken it fallen fan 'e ferbining en de folgjende fraach antwurdet de regel noch op it iepenbiere adres; tusken it opkommen fan 'e ferbining en de folgjende fraach docht er dat net. Dy fertraging tajaan is earlik, beweare dat de opset in strikte invariant ôftwingt is dat net.

Der sit in berikstrik yn 'e steatkontrôle sels. Get-VpnConnection rapportearret kliïntprofilen dy't op 'e masine konfigurearre binne, standert foar de hjoeddeiske brûker en foar alle brûkers mei -AllUserConnection. It rapportearret net de fiere brûkers dy't op dit stuit by in RRAS-tsjinner ynbelle binne; dat is in oare observaasje mei in oare opdracht. In poarte boud op 'e ferkearde is mei neat ferbûn.

Folgje dan de steaten dy't nimmen skriptet: start mei de regel al oanset út in eardere rin, kontrolleur-crash wylst de poarte iepen is, en in profyl dat wiske wurdt wylst syn regel libben bliuwt. Elk hat in fêstleine standert nedich, en de feilige standert foar in iepenbiere tastimming is útskeakele. As de eask it fraachfinster wier net ferneare kin, is in steatbûne regel it ferkearde ynstrumint en heart de hanthavening by de tunnel, net by de iepenbiere ynterface.

Test úteinlik it iepenbiere fersyk twa kear, ien kear mei de keazen ferbining oan en ien kear mei dy út, fan in host dy't net op it VPN is. In slagge ping fan binnen de tunnel bewiist neat oer dit belied, en dat is de mjitting dy't de measte útrôljen oerslaan.