Allinnich de Windows-firewall as VPN-noodskakelaar: hâldt it?
Regels op basis fan ynterfacetyp kinne de fysike adapters blokkearje, mar in tunnel fan tredden liket faak bedrade. Kontrolearje de klassifikaasje, de rûte nei it einpunt en dan DNS.
Freegje oft de Windows-firewall op himsels as needskakelaar tsjinje kin en jo krije twa selswis en ûnferienige antwurden. Ien seit dat de regel op basis fan ynterfacetyp it hiele wurk docht; de oare seit dat it sûnder skripten net kin. Beide beskriuwe de helte fan itselde meganisme. De firewall kin de blokkade útdrukke, en oft it resultaat echt sletten mislearret hinget fan trije dingen ôf: hoe't Windows de tunneladapter klassifisearret, oft de útsûndering foar it einpunt oerbliuwt, en oft nammeoplossing en IPv6 dutsen binne. Doch ien fan dy ferkeard en de masine lekt of ferliest alle ferbining.
Trije betingsten, yn dizze folchoarder
De earste betingst is klassifikaasje, en dy beslút oft de regel dy't jo wolle uberhaupt útdrukber is. Regels fan de Windows-firewall kinne beheind wurde op ynterfacetyp: bedrade, draadloas of tagong op ôfstân. In belied dat útgeand ferkear op 'e fysike typen blokkearret en de tunnel tastiet, wurket allinnich as Windows de tunnel as tagong op ôfstân erkennen.
De twadde betingst is de útsûndering foar it einpunt. Foardat der in tunnel is, moat de klant de VPN-tsjinner fia de fysike adapter berikke, dus in folsleine blokkade op dy adapter foarkomt krekt de ferbining dy't de blokkade oerstallich meitsje soe. De útsûndering moat de tsjinner en syn poart neame, en it pakket moat fia de fysike gateway nei bûten gean ynstee fan in tunnel yn dy't noch net omheech is.
De tredde is dekking. In set regels dy't IPv4 blokkearret en IPv6 ferjit, of dy't de lokale resolver tastiet it einpunt te sykjen en dêrmei elk oar sykjen tastiet, mislearret iepen krekt yn it finster dat de needskakelaar bestiet om te dekken. Dat is in gat yn it ûntwerp, net in flater yn 'e firewall. It is ek it gat dat elke test op in buro oerlibbet.
Klassifikaasje is de earste poarte
Sjoch wat Windows fan 'e adapters tinkt foardat jo ien regel skriuwe. In eigen Windows-VPN-ferbining ferskynt normaal as tagong op ôfstân. In klant fan tredden dy't syn eigen firtuele adapter makket, ferskynt faak as bedrade, wat betsjut dat in blokkade beheind ta bedrade adapters ek de tunnel blokkearret.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionIt tredde kommando fertelt jo oft in standertblokkade fan útgeand ferkear al fan krêft is, wat de hiele foarm fan it ûntwerp feroaret. As de standert al blokkearje is, skriuwe jo tastieningsregels ynstee fan útsûnderingen op in tastienende basis, en dat is in folle makliker hâlding om oer te redenearjen.
As jo tunneladapter him as bedrade meldt, is allinnich de firewall net it goede helpmiddel foar in ûntwerp mei sletten mislearring, en gjin inkele regelôfstelling feroaret dat. Dat is it gefal wêryn't de twadde miening yn elke forumdiskúsje gelyk hat.
De útsûndering foar it einpunt hat in rûte nedich, net allinnich in regel
Stel dat de klassifikaasje wurket. De útsûndering bestiet út twa stikken, en dy libje yn ferskillende subsystemen. De firewallregel lit it ferkear troch; de hostrûte lit it fia de juste ynterface nei bûten gean wylst de tunnel del is.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32Sûnder de rûte helpt de útsûndering allinnich wylst in standertrûte noch nei de fysike gateway wiist. Sadree't de klant syn eigen standertrûte ynstallearret en dan stjert, hawwe de tastiene pakketten gjin sinfol plak om hinne en kin de ferbining net wer opboud wurde. Dat mislearjen liket op in stikken klant en is eins in ûntbrekkende rûte.
Hâld de útsûndering sa smel as de klant tastiet. Ien adres en ien poart binne te kontrolearjen; in berik dat it hiele netwurk fan 'e oanbieder dekt net. Dy bredere regel lit ek al it oare ta dat by deselde oanbieder host wurdt, en dat is meastentiden mear as jo bedoelden.
DNS en IPv6 binne wêr't it iepen mislearret
Nammeoplossing is it klassike lek. As it einpunt in hostnamme is, moat de klant dy oplosse foardat de tunnel bestiet, wat betsjut dat de fysike adapter in resolver berikke mei. Dyselde tastimming lit elk oar sykjen nei bûten gean wylst de tunnel del is, en ien sykjen is genôch om te ferrieden wat jo fan plan wiene te besykjen.
IPv6 is de twadde. Regels skreaun foar IPv4 dekke de oare famylje net, en in protte klanten ynstallearje allinnich IPv4-rûtes. In masine mei eigen IPv6-ferbining kin dêrom trochgean mei praten mei it ynternet wylst de IPv4-kant fêst blokkearre is, en de needskakelaar meldt hieltyd sukses.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
De tredde rige is wurdich te begripen ynstee fan te mijen. In firewall beslút oer pakketten, net oer hokker ynterface in applikaasje freegje om te brûken, en in programma dat him eksplisyt bynt kin dreech te behâlden wêze. Dat is in argumint foar in needskakelaar oan 'e klantkant dy't ûnder de applikaasje wurket, net foar mear regels.
Test troch de klant te stopjen, net troch de kabel te lûken
De iennichste sinfolle test is dy't it mislearjen neibeart dêr't jo tsjin beskermje. Stop de tsjinst, deadzje it proses of skeakelje de adapter út dy't de klant makke hat, en besykje dan it ynternet en in namme te berikken:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443Alle trije soene mislearje moatte. As de earste slagget, is de blokkade net fan krêft; as de twadde slagget wêr't de earste mislearre, hawwe jo in DNS-lek; as de tredde slagget, is IPv6 net dutsen. Elk resultaat wiist nei krekt ien fan 'e gatten hjirboppe.
Werhelje de test nei sliep en wekker wurden, want it firewallprofyl kin feroarje as Windows beslút dat in netwurk iepenbier of privee is, en regels beheind ta in profyl folgje it. In ûntwerp dat op in buro hâldt en yn in trein mislearret, is in ûntwerp dat ien kear test is.
As de klassifikaasjepoarte of de DNS-ferplichting de oanpak mei allinnich firewall ûnwurkber meitsje, is in needskakelaar oan 'e klantkant it earlike antwurd. As de tunnel ynstee op in router einiget, soe de router it belied besitte moatte, want ien regel dêr dekt elk apparaat derachter en hinget net ôf fan hoe't Windows in adapter beneamt.