Eldveggssnið og VPN-útgangur: hvers vegna opinbert er ekki leið

Reglan hljómar nákvæm: leyfa staðbundna umferð á einkasniðinu og aðeins VPN-umferð á því opinbera. Hún er það ekki, því netkerfissnið velur hvaða eldveggsreglusett á við og segir ekkert um hvaða millistykki flutti pakkann. Að líta á heiti sniðsins sem leiðarkröfu er mistakið sem lætur hönnun með takmarkaðan útgang líta út fyrir að vera fullbúin þegar hún er það ekki.

Skrifið fyrst niður flæðin og ákveðið síðan hvaða fyrirkomulag getur í raun framfylgt hverju þeirra. Sá flæðilisti er eina afurðin sem lifir næstu reglubreytingu af.

Flokkurinn velur reglur, ekki leiðir

Þegar Windows flokkar net sem opinbert eða einkanet beitir eldveggurinn því reglusetti sem stillt er fyrir það snið. Flokkunin fylgir netinu sem millistykkið gekk í, og reglusettið ræður því hvað er leyft á því. Ekkert þessara atriða fer eftir því hvort umferð forrits notaði göngin. Einmitt þetta sjálfstæði er öll erfiðleikinn.

Leiðarvalið er í höndum beiningar, gegnum mælikvarða tengisins og forskeytið sem göngin setja upp. Snið getur því verið merkt opinbert á meðan tenging forrits fer eftir líkamlegu leiðinni, og eldveggurinn greinir samt frá því að opinbera reglusettið hafi verið beitt.

Þess vegna getur regla sem er takmörkuð við sniðið ekki þýtt aðeins göng. Þessir tveir eiginleikar eru ákvarðaðir af ólíkum hlutum og annar getur ekki komið í stað hins.

Skýr blokkun gengur framar þrengra leyfi

Leiðbeiningar Microsoft um eldveggsreglur greina á milli leyfis sem undantekningar frá sjálfgefinni blokkunaraðgerð og skýrrar blokkunar sem stangast á við leyfi. Skýrar blokkanir vinna þá togstreitu, og útleiðarreglur fylgja sama forgangi.

Svo vinsæla uppskriftin að bæta við reglu sem blokkar allt og treysta á þrengra leyfi fyrir ofan hana gerir ekki það sem höfundur hennar væntir. Windows Firewall leysir togstreituna ekki með regluröð sem stjórnandinn úthlutar. Blokkunin gildir einfaldlega, og forritið sem tengist greinir frá tímamörkum. Reglan sem leit út eins og undantekningin var aldrei í leiknum.

Studd mynd er sjálfgefin synjunarstefna með samþykktum leyfisreglum, þar sem hvert leyfi nefnir forrit, þjónustu eða áfangastað nógu nákvæmt til að hægt sé að fara yfir það. Slík hönnun stenst úttekt, því hver undantekning er sýnileg og engin þeirra fer eftir röðinni sem þær voru búnar til í.

Tvær reglur sem stangast á eru verri en ein regla, því hegðunin sem leiðir af þeim er rétt og óútskýranleg á sama tíma.

Gefið útleiðarstefnunni einn eiganda

Studdur VPN-biðlari heldur þegar við eigin blokkunarhegðun og eigin undantekningar fyrir endapunkta. Að bæta við ósamstilltum handvirkum reglum getur skilið biðlarann eftir utan þeirra ganga sem hann þarf fyrir uppsetninguna, eða skilið eftir aðra leið opna sem enginn tók eftir.

Ákveðið hver á útleiðarstefnuna áður en þið skrifið reglur: stillingar biðlarans sjálfs, stýrð eldveggsstefna, eða skjalfestur staðbundinn undantekningalisti með eiganda. Stillið svo lögin saman í stað þess að stafla tilraunum þar til eitthvað tengist. Nafngreindur eigandi er líka sá sem spurt er þegar tvö lög eru ósammála.

Varðveitið endurheimtarrás áður en þið breytið einhverju. Fjartæki sem er læst út af eigin stjórnleið er verri niðurstaða en stefnugatið sem þið voruð að loka. Endurheimtarregluna er auðveldara að réttlæta þegar hún er skrifuð fyrirfram, og auðveldara að finna þegar breyting fer úrskeiðis á klukkustund sem engum þykir gaman.

Prófið fjórar niðurstöður í stað þess að lesa merkið

Stefna er ekki betri en þau tilvik sem hún greinir á milli, svo lítið á sniðsmerkið sem upphafspunkt en ekki niðurstöðu. Fjórar niðurstöður segja til um hvort hún virkar: ætluð LAN-beiðni tekst, yfirfarin internetbeiðni tekst, bönnuð bein beiðni mistekst, og tilvik gangnatruflunar hagar sér eins og hannað var í stað þess að hörfa hljóðlaust. Skrifið fjórar niðurstöðurnar við reglubreytinguna. Prófunaráætlun með fjórum nafngreindum tilvikum er nógu stutt til að keyra í hvert sinn og nógu nákvæm til að mistakast hávært.

Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias
Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction
Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block |
  Select-Object DisplayName,Profile

Fyrsta skipunin sýnir hvernig hvert tengt net er flokkað, sem er oft ekki það sem sá sem skrifaði regluna gerði ráð fyrir. Önnur sýnir sjálfgefna aðgerð fyrir hvert snið, og þriðja telur upp virkar útleiðarblokkanir, þar á meðal þær sem hljóðlaust munu hnekkja þrengra leyfi.

Keyrið fjögur tilvikin aftur eftir netbreytingu, því snið getur verið endurflokkað þegar vélin gengur í annað net. Sammiðandi sniðsmerki er ekki sönnun þess að leiðin hafi verið sú sem þið ætluðuð.