Cén fáth nach riail ping tríd an tollán amháin í geata balla dóiteáin atá ceangailte le staid VPN

Samhlaigh riail balla dóiteáin a chasann ICMP echo ar aghaidh le haghaidh seoladh poiblí an fhreastalaí gach uair a bhíonn próifíl VPN ainmnithe ceangailte. Léitear í mar «ping tríd an tollán amháin», agus tá an léamh sin mícheart ar bhealach a bhfuil tábhacht leis. Ní chuireann an riail srian ar cé a fhéadann an t-óstach a bhaint amach; athraíonn sí an rud a fhreagraíonn an comhéadan poiblí fad a bhíonn nasc eile beo de thimpiste. Dhá pholasaí éagsúla iad sin, agus leathnaíonn ceann acu an nochtadh go ciúin.

An riail a cheapann tú a scríobh tú

Is gnáth go mbíonn an ceanglas atá beartaithe cúng: ba cheart go bhféadfadh an córas faireacháin, nó an t-aon riarthóir ar an VPN, a dhearbhú go bhfuil an freastalaí beo. Scríofa mar abairt, cloiseann sé cosúil le rialú rochtana ar an tollán. Scríofa mar réad balla dóiteáin, iompaíonn sé ina choinníoll ar an bpróifíl phoiblí, mar is ann a shroicheann an t-iarratas echo.

Nuair a bhíonn an coinníoll ina staid naisc seachas ina sheoladh foinse, ní hiad piaraí an VPN an tsraith seoltóirí ceadaithe a thuilleadh. Féadann duine ar bith a shroicheann an seoladh poiblí iarratas echo a sheoladh fad a bhíonn an geata oscailte. Níor tháinig an tollán chun bheith ina chonair; tháinig an tollán chun bheith ina lasc.

De ghnáth ní bhíonn na daoine a chuireann an smaoineamh seo chun cinn ag insint bréag faoin éifeacht a bhí uathu. Bhí seiceáil uathu a fhreagródh amháin nuair a bhíonn an nasc folláin, agus ba tríd an VPN ab fhusa folláine an naisc a bhreathnú. Is é an botún ná comhartha infhaighteachta a mheas mar chinneadh rochtana, agus ansin é a uathoibriú.

Cad a rialaíonn an geata i ndáiríre

Cónaíonn an dearadh seo dhá rud neamhspleácha le chéile, agus is é a ndeighilt an chuid is mó den cheartú. Is é an chéad rud an raon feidhme: cén seoladh áitiúil, cé na seoltaí i bhfad i gcéin, cén prótacal agus cén cineál ICMP. Is é an dara rud an coinníoll: an bhfuil réad na rialach cumasaithe ag an nóiméad seo. Is é an raon feidhme an rud a mheasann balla dóiteáin in aghaidh an phaicéid; is é an coinníoll an rud a scríobhann script sa stór polasaí, agus réitítear an dá rud ar chlocaigh atá iomlán difriúil.

Más é an ceanglas i ndáiríre ná piaraí an VPN amháin, freagraíonn an raon feidhme é gan aon loighic maidir le staid naisc: ceangail an riail le comhéadan an tolláin nó le raon seoltaí an tolláin, cuir na seoltaí i bhfad i gcéin go dtí linne na gcliant, agus sonraigh cineál an echo seachas «ICMP». Fanann an riail sin ceart nuair nach bhfuil aon VPN suas, agus ní féidir le próifíl neamhghaolmhar í a oscailt.

Más geata poiblí i ndáiríre é an ceanglas, abair é i dtéacs an pholasaí, mar athraíonn na critéir ghlactha. Caithfidh geata poiblí an phróifíl bheacht a ainmniú, a shainiú cad is «ceangailte» ann, agus a rá go bhfuil seoltóirí poiblí sa raon feidhme de réir an dearaidh. Imíonn an chuid is mó den mhearbhall ag an nóiméad a gcuirtear iallach ar dhuine an abairt sin a scríobh síos.

Tóg an réad uair amháin, ansin lasc é

Soláthair riail amháin roimh ré le féiniúlacht chobhsaí, díchumasaithe, agus lig don rialtóir a staid chumasaithe amháin a athrú. Is é cruthú rialacha de réir an ainm taispeána ar gach rith an bealach a gcríochnaíonn stór polasaí le cúig réad beagnach comhionann agus gan aon bhealach iontaofa chun iad a bhaint.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Is é an t-ainm an t-aitheantóir marthanach; is é an t-ainm taispeána doiciméadú ar féidir le duine é a chur in eagar. Réitigh ar -Name agus stopfaidh an script ag táirgeadh dúblach. Clúdaíonn an fhoirm ordaithe chéanna an cás IPv6 le -Protocol ICMPv6 -IcmpType 128, ach is riail ar leith í mar tá uimhreacha cineál echo difriúil idir an dá theaghlach.

Coinnigh an teaghlach seoladh agus cineál ICMP follasach ar an dara cúis: ceadaíonn -Protocol ICMPv4 gan chineál gach teachtaireacht ICMPv4 a cheadaíonn an phróifíl, lena n-áirítear iad sin nach raibh sé ar intinn agat riamh a ghlacadh. Cúngaíonn ainmniú chineál 8 an riail go dtí an t-iarratas echo, agus sin an t-aon rud a sheolann seiceáil inrochtaineachta.

San áit a gcuireann an uathoibriú i gcoinne an rúin

Ní féidir le pobalbhreith ar phróifíl cliaint gach cúpla nóiméad teorainn láithreach a chruthú. Idir an nasc ag titim agus an chéad phobalbhreith eile, freagraíonn an riail fós ar an seoladh poiblí; idir an nasc ag éirí agus an chéad phobalbhreith eile, ní fhreagraíonn sí. Is onórach an mhoill sin a admháil, agus ní onórach a mhaíomh go gcuireann an dearadh iachall ar inbhéartachán docht.

Tá gaiste raon feidhme sa tseiceáil staide féin. Tuairiscíonn Get-VpnConnection próifílí cliaint atá cumraithe ar an meaisín, de réir réamhshocraithe don úsáideoir reatha agus do gach úsáideoir le -AllUserConnection. Ní thuairiscíonn sé na húsáideoirí i bhfad i gcéin atá ag diailiú isteach i bhfreastalaí RRAS faoi láthair; is breathnóireacht eile é sin le horduithe eile. Níl geata a tógadh ar an gceann mícheart ceangailte le haon rud.

Ansin clúdaigh na staideanna nach ndéanann aon duine scripteáil orthu: tosú leis an riail cheana féin cumasaithe ó rith roimhe, tuairt an rialtóra agus an geata oscailte, agus próifíl scriosta agus a riail fós beo. Teastaíonn réamhshocrú sainithe ó gach ceann, agus is é an réamhshocrú sábháilte do chead poiblí ná díchumasaithe. Mura féidir leis an gceanglas fuinneog na pobalbhreithe a fhulaingt i ndáiríre, is é riail atá ceangailte le staid an uirlis mhícheart agus baineann an forfheidhmiú leis an tollán, ní leis an gcomhéadan poiblí.

Ar deireadh, tástáil an t-iarratas poiblí faoi dhó, uair amháin leis an nasc roghnaithe suas agus uair amháin leis síos, ó óstach nach bhfuil ar an VPN. Ní chruthaíonn ping rathúil ón taobh istigh den tollán aon rud faoin bpolasaí seo, agus sin an tomhas a scipeann an chuid is mó de na himscarthaí.