ફાયરવોલ પ્રોફાઇલ્સ વિરુદ્ધ VPN ઇગ્રેસ: સાર્વજનિક કેમ પથ નથી
ફાયરવોલ પ્રોફાઇલ પસંદ કરે છે કે કયો નિયમ સમૂહ લાગુ થાય. તે કહેતું નથી કે કયા ઇન્ટરફેસે પેકેટ વહ્યું, અને સ્પષ્ટ બ્લોક સાંકડી પરવાનગીને હરાવે છે.
નિયમ ચોક્કસ લાગે છે: ખાનગી પ્રોફાઇલ પર સ્થાનિક ટ્રાફિક અને સાર્વજનિક પર ફક્ત VPN ટ્રાફિકની પરવાનગી આપો. તે નથી, કારણ કે નેટવર્ક પ્રોફાઇલ પસંદ કરે છે કે કયો ફાયરવોલ નિયમ સમૂહ લાગુ થાય અને કહેતું નથી કે કયા એડેપ્ટરે પેકેટ વહ્યું. પ્રોફાઇલના નામને પથની આવશ્યકતા તરીકે ગણવી એ જ ભૂલ છે જે મર્યાદિત ઇગ્રેસ ડિઝાઇનને પૂર્ણ ન હોવા છતાં પૂર્ણ દેખાવા દે છે.
પહેલાં પ્રવાહો લખો, પછી નક્કી કરો કે કઈ પદ્ધતિ દરેકને ખરેખર લાગુ કરી શકે. તે પ્રવાહ યાદી જ એકમાત્ર ઉત્પાદન છે જે આગલા નિયમ ફેરફાર પછી ટકે છે.
શ્રેણી નિયમો પસંદ કરે છે, માર્ગો નહીં
જ્યારે Windows નેટવર્કને સાર્વજનિક કે ખાનગી તરીકે વર્ગીકૃત કરે છે, ત્યારે ફાયરવોલ તે પ્રોફાઇલ માટે રૂપરેખાંકિત નિયમ સમૂહ લાગુ કરે છે. વર્ગીકરણ એ નેટવર્કને અનુસરે છે જેમાં એડેપ્ટર જોડાયું, અને નિયમ સમૂહ નક્કી કરે છે કે તેના પર શું માન્ય છે. આ તથ્યોમાંથી કોઈ પણ એ વાત પર આધારિત નથી કે એપ્લિકેશનના ટ્રાફિકે ટનલ વાપરી હતી કે નહીં. એ સ્વતંત્રતા જ આખી મુશ્કેલી છે.
પથની પસંદગી રૂટિંગ કરે છે, ઇન્ટરફેસ મેટ્રિક અને ટનલ જે પ્રિફિક્સ ઇન્સ્ટોલ કરે છે તેના દ્વારા. તેથી પ્રોફાઇલ સાર્વજનિક તરીકે લેબલ થઈ શકે છે જ્યારે એપ્લિકેશનનું જોડાણ ભૌતિક પથ લે છે, અને ફાયરવોલ તો પણ જાહેર કરશે કે સાર્વજનિક નિયમ સમૂહ લાગુ થયો.
તેથી પ્રોફાઇલ સુધી મર્યાદિત નિયમનો અર્થ ફક્ત-ટનલ ન હોઈ શકે. આ બે ગુણધર્મો જુદા ઘટકો નક્કી કરે છે અને એક બીજાનું સ્થાન લઈ શકતું નથી.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
સ્પષ્ટ બ્લોક સાંકડી પરવાનગી પર ભારે પડે છે
Microsoft ની ફાયરવોલ નિયમ માર્ગદર્શિકા ડિફોલ્ટ બ્લોક ક્રિયાના અપવાદ તરીકેની પરવાનગી અને પરવાનગી સાથે અથડાતા સ્પષ્ટ બ્લોક વચ્ચે ભેદ પાડે છે. સ્પષ્ટ બ્લોક તે અથડામણમાં જીતે છે, અને આઉટબાઉન્ડ નિયમો પણ એ જ અગ્રતા પાળે છે.
તેથી બધું બ્લોક કરતો નિયમ ઉમેરીને તેની ઉપર મૂકેલી સાંકડી પરવાનગી પર આધાર રાખવાની લોકપ્રિય રીત તેના લેખક ધારે છે તે કરતી નથી. Windows Firewall એડમિનિસ્ટ્રેટરે આપેલા નિયમ ક્રમ દ્વારા અથડામણ ઉકેલતું નથી. બ્લોક ફક્ત લાગુ થાય છે, અને જોડાતી એપ્લિકેશન સમય સમાપ્તિ જાહેર કરે છે. અપવાદ જેવો દેખાતો નિયમ ક્યારેય રમતમાં નહોતો.
સમર્થિત સ્વરૂપ એ મંજૂર પરવાનગી નિયમો સાથેની ડિફોલ્ટ-નકાર નીતિ છે, જ્યાં દરેક પરવાનગી પ્રોગ્રામ, સેવા કે ગંતવ્યને સમીક્ષા માટે પૂરતી ચોકસાઈથી નામ આપે છે. તે ડિઝાઇન ઓડિટમાં ટકે છે, કારણ કે દરેક અપવાદ દૃશ્યમાન છે અને એમાંથી કોઈ પણ જે ક્રમમાં બન્યા તેના પર આધારિત નથી.
એકબીજાનો વિરોધ કરતા બે નિયમો એક નિયમ કરતાં ખરાબ છે, કારણ કે પરિણામી વર્તન એક જ સમયે સાચું અને અસ્પષ્ટ છે.
આઉટબાઉન્ડ નીતિને એક જ માલિક આપો
સમર્થિત VPN ક્લાયન્ટ પહેલેથી જ પોતાનું બ્લોકિંગ વર્તન અને પોતાના એન્ડપોઇન્ટ અપવાદો જાળવે છે. અસંયોજિત મેન્યુઅલ નિયમો ઉમેરવાથી તે ક્લાયન્ટ સેટઅપ માટે જરૂરી ટનલની બહાર રહી શકે, અથવા કોઈએ ધ્યાન ન આપેલો બીજો પથ ખુલ્લો રહી શકે.
નિયમો લખતા પહેલાં નક્કી કરો કે આઉટબાઉન્ડ નીતિ કોની છે: ક્લાયન્ટની પોતાની રૂપરેખા, સંચાલિત ફાયરવોલ નીતિ, અથવા માલિક સાથેની દસ્તાવેજીકૃત સ્થાનિક અપવાદ યાદી. પછી કંઈક જોડાય ત્યાં સુધી પ્રયોગો થપ્પી કરવાને બદલે સ્તરોનું સમન્વયન કરો. નામવાળો માલિક એ જ વ્યક્તિ છે જેને બે સ્તરો અસંમત હોય ત્યારે પૂછવામાં આવે છે.
કંઈપણ બદલતા પહેલાં પુનઃપ્રાપ્તિ ચેનલ સાચવો. પોતાના વ્યવસ્થાપન પથની બહાર તાળું મારેલી દૂરની મશીન તમે બંધ કરી રહ્યા હતા તે નીતિ અંતર કરતાં ખરાબ પરિણામ છે. પુનઃપ્રાપ્તિ નિયમ અગાઉથી લખાયેલો હોય ત્યારે ન્યાયી ઠેરવવો સહેલો છે, અને કોઈને ન ગમતા કલાકે ફેરફાર ખોટો જાય ત્યારે તેને શોધવો પણ સહેલો છે.
લેબલ વાંચવાને બદલે ચાર પરિણામોની કસોટી કરો
નીતિ એટલી જ સારી છે જેટલા કેસ તે અલગ પાડે છે, તેથી પ્રોફાઇલ લેબલને પરિણામ નહીં પણ પ્રારંભિક બિંદુ ગણો. ચાર પરિણામો કહે છે કે તે કામ કરે છે કે નહીં: ઇચ્છિત LAN વિનંતી સફળ થાય છે, આવરી લેવાયેલી ઇન્ટરનેટ વિનંતી સફળ થાય છે, પ્રતિબંધિત સીધી વિનંતી નિષ્ફળ જાય છે, અને ટનલ નિષ્ફળતાનો કેસ ચૂપચાપ પાછળ ન હટતાં ડિઝાઇન મુજબ વર્તે છે. ચાર પરિણામો નિયમ ફેરફારની બાજુમાં લખો. ચાર નામવાળા કેસોની કસોટી યોજના દર વખતે ચલાવવા પૂરતી ટૂંકી અને જોરથી નિષ્ફળ થવા પૂરતી ચોક્કસ છે.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
પ્રથમ આદેશ બતાવે છે કે દરેક જોડાયેલું નેટવર્ક કેવી રીતે વર્ગીકૃત છે, જે ઘણી વાર નિયમ લખનાર વ્યક્તિએ ધાર્યું હોય તે નથી. બીજો દરેક પ્રોફાઇલ માટે ડિફોલ્ટ ક્રિયા બતાવે છે, અને ત્રીજો સક્ષમ આઉટબાઉન્ડ બ્લોકની યાદી આપે છે, જેમાં એ પણ છે જે ચૂપચાપ સાંકડી પરવાનગી રદ કરશે.
નેટવર્ક ફેરફાર પછી ચાર કેસ ફરી ચલાવો, કારણ કે મશીન બીજા નેટવર્કમાં જોડાય ત્યારે પ્રોફાઇલ ફરી વર્ગીકૃત થઈ શકે છે. મેળ ખાતું પ્રોફાઇલ લેબલ એ પુરાવો નથી કે પથ તમે ઇચ્છ્યો હતો તે જ હતો.