Coinníonn an lasc sábháilteachta bac ar thrácht tar éis an VPN a dhícheangal

Tá an tollán imithe, tá cuma normal ar an deilbhín líonra, agus ní luchtaítear aon rud. Dhícheangail tú an VPN, nó dhíshuiteáil tú é, nó atosaigh tú é, agus tá an bac a bhí ceaptha chun tú a chosaint le linn titim fós ina sheasamh. Ní féidir le fuinneog an chliaint é seo a mhíniú, mar ní hé an cliant atá do do bhac: scríobhadh an cinneadh isteach sa chineál i d’ainm, agus níor fágadh aon rud chun é a bhaint. I Windows tá an staid sin i bPlatfhoirm Scagtha Windows; i Linux is sraith rialacha in iptables nó nftables é, go minic le léargas a athsheinntear ag am tosaithe. Seo a leanas an t-ord a úsáidim: léigh an staid, scrios an réad is cúinge a mhíníonn an teip, agus ansin aimsigh gach rud a choinníonn á chur ar ais.

Staid chineáil is ea lasc sábháilteachta, ní socrú

Cuireann cliaint deisce an bac i bhfeidhm trí scagairí a chur leis a dhiúltaíonn trácht lasmuigh den tollán. I Windows is scagairí WFP iad ag sraitheanna atreoraithe naisc agus iompair, agus tá cuid acu marthanach: taifeadtar iad i stór beartas an Base Filtering Engine agus cuirtear ar ais iad nuair a thosaíonn an meaisín, sula ritheann aon bhogearra VPN. Tá cliaint difriúil maidir le cathain a ghlanann siad. Baineann cuid acu scagairí nuair a dhícheanglaítear, cuid eile ach amháin ag imeacht glan, agus cuid eile ach amháin nuair a mhúchtar an lasc sábháilteachta ar dtús. Díshuiteáil agus an bac gníomhach, nó maraigh an próiseas, agus fanann na scagairí.

Is é an comhionann i Linux ná riail scoir nó diúltaithe sa chonair amach, uaireanta riail aistrithe, uaireanta beartas slabhra athraithe. Maireann na rialacha sin níos faide ná an próiseas a chuir leo mar is staid chineáil iad: maraigh an cliant, tabhair air tuairteáil, nó gearr an chumhacht, agus leanann an cineál ag scaoileadh paicéad gan aon rud fágtha chun é a chealú. Cuireann pacáiste marthanachta dara sraith buaine leis trí léargas a ghlacadh den sraith rialacha reatha agus é a chur ar ais ag am tosaithe, ionas go dtosaíonn an chéad tosú eile agus an bac suiteáilte cheana féin.

Léigh staid WFP sula scriosann tú aon rud

Tagann Windows leis na huirlisí atá uait. Rith leid ardaithe agus dumpáil staid na platfhoirme; tagann an dump mar wfpstate.xml sa chomhadlann oibre.

netsh wfp show state
netsh wfp show filters
Get-Service bfe

Cuardaigh an XML ar ainm an tsoláthraí atá imithe, ar ghníomh Block, agus ar an tsraith. Is iad scagairí ar atreorú naisc agus iompar na cinn a bhriseann gnáth-thrácht; ní hé scagaire ar shraith glactha fála do chúis de ghnáth. Mura bhfuil an Base Filtering Engine ag rith ar chor ar bith, féach in áit eile, mar ní féidir le haon rud eile na scagairí sin a fhorfheidhmiú.

Seiceáil gnáthradharc an bhalla dóiteáin freisin, mar ní scrúdaíonn formhór na ndaoine ach ceann den dá cheann:

netsh advfirewall show allprofiles
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Nuair a bhíonn na próifílí ionsuite ar siúl agus nach n-oireann aon riail don trácht atá ag teip, tagann an bac ó sholáthraí tríú páirtí seachas ó Bhalla Dóiteáin Windows. Socraíonn an t-idirdhealú sin cén uirlis a úsáidfidh tú don deisiú.

Léigh rialacha Linux sa chomhréir a scriosfaidh tú leo

Priontálann iptables -S rialacha san fhoirm chéanna a úsáidtear chun iad a chur leis, rud a fhágann go bhfuil an t-aschur in-athúsáidte go díreach le haghaidh scriosta. Cuireann iptables -L -v -n frithairí paicéad leis, agus insíonn na frithairí sin duit an bhfuil riail ag teacht go fírinneach le d’iarratais atá ag teip nó nach bhfuil sí ach ina suí sa slabhra.

sudo iptables -S
sudo ip6tables -S
sudo iptables -t nat -S

Léigh beartais na slabhraí, ní hamháin na rialacha: cuireann -P OUTPUT DROP bac ar thrácht fiú nuair nach n-oireann aon riail. Scrúdaigh IPv6 ar leithligh, mar is féidir le cliant a shuiteálann an dá theaghlach an bac IPv6 a fhágáil ina áit tar éis do na rialacha IPv4 imeacht, agus braitheann an tsiomptóm ansin ar an teaghlach is fearr le feidhmchlár. San áit a n-úsáidtear nftables, rith nft list ruleset freisin; comhaireann an dá uirlis trí shraith chomhoiriúnachta, agus ní gá go dtaispeánfadh aon liostú gach riail ar féidir léi paicéad a scaoileadh.

Scrios an réad is cúinge a mhíníonn an teip

I Windows is é an chéad chéim fós conair bhainte an tsoláthraí féin: rith an suiteálaí arís agus úsáid deisiú nó díshuiteáil, nó rith an uirlis ghlanta má fhoilsíonn an soláthraí ceann. Tá seirbhísí fágtha agus tascanna sceidealta coitianta, agus suiteálann tasc a thosaíonn an cliant ag logáil isteach a scagairí arís ag an gcéad tosú eile. Ciallaíonn díshuiteáil a theipeann agus eochair chlár an chliaint á léamh de ghnáth go bhfuil seirbhís nó tasc fós á coinneáil, ní go bhfuil an chlár truaillithe.

Get-ScheduledTask | Where-Object TaskName -like '*vpn*'
Get-Service | Where-Object DisplayName -like '*vpn*'

Is iad scagairí marthanacha an rogha dheireanach. Tá siad faoi HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent\Filter, luach amháin in aghaidh an scagaire le heochair GUID. Easpórtáil an eochair ar dtús, taifead na GUIDanna a bhaineann tú, ná scrios ach na luachanna a bhaineann leis an gcliant atá imithe, ansin atosaigh ionas go n-atógann an t-inneall a staid. Ná scrios an eochair iomlán agus ná díchumasaigh an Base Filtering Engine: braitheann Ball Dóiteáin Windows agus Defender air, agus mhalartófá cliseadh amháin ar cheann níos measa.

reg export "HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent" C:\temp\bfe-backup.reg

I Linux, tóg an líne a phriontálann iptables -S agus cuir -D in ionad -A. Is fearr an riail amháin a d’aithin tú a scriosadh ná slabhra a shruthlú, mar fágann sé do bheartas féin slán.

sudo iptables -D OUTPUT -p udp -j REJECT

Má tá an scaoileadh i slabhra arna shainiú ag an úsáideoir, scrios an léim chuig an slabhra sin ar dtús agus bain an slabhra le -X ina dhiaidh sin. Ní chabhraíonn beartas slabhra a shocrú go ACCEPT agus rialacha scoir fós i láthair ach le paicéid a shroicheann an cinneadh beartais ar chor ar bith. Is é sruthlú gach tábla an rogha dheireanach: baineann sé freisin rialacha a chuir tú leis ar chúiseanna eile, agus le ufw ar siúl fágann sé an tseirbhís ag creidiúint go bhfuil slabhraí aici nach bhfuil ann níos mó.

Aimsigh an t-úinéir a chuireann ar ais é

Tar éis an deisiú láithreach, féach ar aon rud a chuirfeadh an staid ar ais. I Linux, seiceáil an bhfuil aonad marthanachta cumasaithe, an bhfuil socrú ag an gcliant chun an ball dóiteáin a chur ar ais ag logáil isteach, agus an bhfuil comhad rialacha sábháilte ann faoi /etc. I Windows, seiceáil iontrálacha tosaithe, seirbhísí agus tascanna sceidealta arís, ansin atosaigh agus léigh an staid leis na horduithe céanna agus a bhí roimhe.

Má thagann an bac ar ais, níorbh é an scriosadh an réiteach; ba é an t-úinéir é. Taifead cén cliant nó seirbhís a shuiteálann é agus díchumasaigh an ghné ansin, in ionad troid leis ag sraith an bhalla dóiteáin tar éis gach dícheangail.

Fíoraigh le fíor-thrácht, ní le ping amháin

Tástáil cuardach ainm, nasc TCP agus seisiún brabhsálaí úr, ansin atosaigh agus déan na trí sheiceáil chéanna arís. Cuireann ping a oibríonn agus HTTPS ag teip in iúl go bhfuil scagaire ar shraith iompair i gceist seachas an líonra, agus cuireann bac a fhillfidh ach tar éis an atosaithe in iúl go bhfuil úinéir ann nár aimsigh tú fós.

Coinnigh an fhianaise: an eochair BFE easpórtáilte, nó aschur iptables -S a gabhadh roimh an athrú. Sula nglaonn tú deisithe air, deimhnigh an tsraith ar bhain tú an réad aisti, an t-úinéir a fhéadfadh é a athshuiteáil, an staid tar éis aon atosaithe ghlain amháin, agus go n-oibríonn gnáth-bhrabhsáil gan aon phróiseas VPN ag rith. Tá an chomhréir scriosta agus beartais chruinn ar leathanach láimheleabhair iptables(8) má dhéanann tú script de ghlanadh.