Hvers vegna eldveggjarhlið bundið við VPN-stöðu er ekki regla um ping eingöngu um göngin

Ímyndaðu þér eldveggjarreglu sem kveikir á ICMP echo fyrir opinbert vistfang netþjónsins í hvert sinn sem nafngreint VPN-snið er tengt. Hún les eins og „ping eingöngu um göngin“, og sú lestur er röng á þann hátt sem skiptir máli. Reglan takmarkar ekki hverjir komast að vélinni; hún breytir því hvað opinbera tengið svarar meðan önnur tenging er fyrir tilviljun virk. Þetta eru tvær mismunandi stefnur, og önnur þeirra víkkar útsetninguna hljóðlega.

Reglan sem þú heldur að þú hafir skrifað

Ætluð krafa er venjulega þröng: eftirlitskerfið, eða eini stjórnandinn á VPN-inu, á að geta staðfest að netþjónninn sé á lífi. Skrifuð sem setning hljómar hún eins og aðgangsstýring á göngunum. Skrifuð sem eldveggjarhlutur verður hún skilyrði á opinbera sniðinu, því þangað berst echo-beiðnin.

Um leið og skilyrðið er tengingarstaða í stað upprunavistfangs er mengi leyfðra sendenda ekki lengur mengi VPN-jafningja. Hver sem kemst að opinbera vistfanginu getur sent echo-beiðni meðan hliðið er opið. Göngin urðu ekki leiðin; göngin urðu rofinn.

Þeir sem auglýsa þessa hugmynd ljúga venjulega ekki um áhrifin sem þeir vildu. Þeir þurftu prófun sem svarar aðeins þegar tengingin er heilbrigð, og heilbrigði tengingarinnar var auðveldast að fylgjast með í gegnum VPN-ið. Mistökið er að meðhöndla tiltækileikamerki sem aðgangsákvörðun og gera hana síðan sjálfvirka.

Hvað hliðið stýrir í raun

Þessi hönnun bræðir saman tvo óháða hluti, og aðgreiningin er stærsti hluti lagfæringarinnar. Hið fyrra er umfang: hvaða staðbundna vistfang, hvaða fjarlægu vistföng, hvaða siðareglur og hvaða ICMP-gerð. Hið síðara er skilyrði: hvort regluhluturinn sé virkur í þessu augnabliki. Umfang er það sem eldveggur metur fyrir hverja pakkann; skilyrði er það sem skrift skrifar í stefnugeymsluna, og þau tvö eru samræmd á gjörólíkum klukkum.

Ef krafan er í raun aðeins VPN-jafningjar svarar umfangið henni án nokkurrar tengingarstöðulógíkur: bindið regluna við tengi ganganna eða við vistfangasvið ganganna, takmarkið fjarlægu vistföngin við biðlasafn viðskiptavina og tilgreinið echo-gerðina í stað „ICMP“. Sú regla helst rétt þegar ekkert VPN er virkt og ótengt snið getur ekki opnað hana.

Ef krafan er í raun opinbert hlið, segið það í texta stefnunnar, því samþykkisskilyrðin breytast. Opinbert hlið verður að nefna nákvæma sniðið, skilgreina hvað „tengt“ þýðir og lýsa því yfir að opinberir sendendur séu innan umfangsins að hönnun. Mest ruglsins hverfur á þeirri stundu sem einhver er neyddur til að skrifa þessa setningu niður.

Byggið hlutinn einu sinni og víxlið honum svo

Útbúið eina reglu fyrirfram með stöðugri auðkenningu, óvirka, og látið stýringuna breyta aðeins virkni hennar. Að búa til reglur eftir skjáheiti í hverri keyrslu er leiðin sem stefnugeymsla endar með fimm nær eins hlutum og enga áreiðanlega leið til að fjarlægja þá.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Heitið er varanlega auðkenningin; skjáheitið er skjöl sem maður má breyta. Samræmið við -Name og skriftin hættir að framleiða tvíritanir. Sama skipanamyndin nær yfir IPv6-tilvikið með -Protocol ICMPv6 -IcmpType 128, en það er sér regla því echo-gerðantölurnar eru mismunandi milli fjölskyldnanna tveggja.

Haldið vistfangafjölskyldunni og ICMP-gerðinni skýrum af annarri ástæðu: -Protocol ICMPv4 án gerðar leyfir hverja ICMPv4-skilaboð sem sniðið leyfir, þar á meðal þau sem þú ætlaðir þér aldrei að taka við. Að nefna gerð 8 þrengir regluna að echo-beiðni, og það er það eina sem aðgengisprófun sendir.

Þar sem sjálfvirknin gengur gegn ætluninni

Að fylgjast með viðskiptavinasniði á nokkurra mínútna fresti getur ekki myndað tafarlaus mörk. Milli þess að tengingin dettur og næstu könnunar svarar reglan enn á opinbera vistfanginu; milli þess að tengingin rís og næstu könnunar svarar hún ekki. Að viðurkenna þá seinkun er heiðarlegt, að fullyrða að hönnunin þvingi strangt fastheldið er það ekki.

Í stöðuprófuninni sjálfri er umfangsgildra. Get-VpnConnection tilkynnir viðskiptavinasnið sem skilgreind eru á vélinni, sjálfgefið fyrir núverandi notanda og fyrir alla notendur með -AllUserConnection. Það tilkynnir ekki fjarlæga notendur sem eru nú í símtali við RRAS-netþjón; það er önnur athugun með annarri skipun. Hlið byggt á röngu er ekki tengt neinu.

Því næst þakið stöðurnar sem enginn skrifar skrift fyrir: ræsing með reglunni þegar virkri frá fyrri keyrslu, hrun stýringarinnar meðan hliðið er opið og sniði eytt meðan regla þess heldur áfram að lifa. Hver þeirra þarf skilgreint sjálfgefið gildi, og örugga sjálfgefna gildið fyrir opinbert leyfi er óvirkt. Ef krafan þolir í raun ekki könnunargluggann er stöðubundin regla rangt tæki og framfylgdin á heima í göngunum, ekki á opinbera tenginu.

Að lokum, prófið opinberu beiðnina tvisvar, einu sinni með valda tenginguna virka og einu sinni með hana niðri, frá vél sem er ekki á VPN-inu. Árangursríkt ping innan úr göngunum sannar ekkert um þessa stefnu, og það er mælingin sem flestar uppsetningar sleppa.