Einungis eldveggur Windows sem VPN-neyddarrofi: heldur það?

Spurðu hvort eldveggur Windows geti einn starfað sem neyddarrofi og þú fær tvö örugg og ósamrýmanleg svör. Annað segir að reglan eftir tegund tengis vinni allt verkið; hitt að það virki ekki án skrifta. Bæði lýsa helmingi sama kerfis. Eldveggurinn getur lýst lokuninni, og hvort útkoman mistakist í raun lokuð fer eftir þremur hlutum: hvernig Windows flokkar göngutengið, hvort undantekning endastöðvar lifir af og hvort nafnaupplausn og IPv6 eru þakin. Farðu rangt í eitt þeirra og vélin lekur eða tapar allri tengingu.

Þrjú skilyrði, í þessari röð

Fyrsta skilyrðið er flokkunin, og hún ræður því hvort hægt sé yfirhöfuð að orða regluna sem þú vilt. Reglur eldveggs Windows er hægt að takmarka eftir tegund tengis: snúru, þráðlaust eða fjartengingu. Stefna sem lokar útleiðarumferð á eðlisfræðilegu tegundunum og leyfir göngin virkar aðeins ef Windows viðurkennir göngin sem fjartengingu.

Annað skilyrðið er undantekning endastöðvar. Áður en nokkur göng eru til þarf biðlarinn að ná VPN-þjóninum um eðlisfræðilega millistykkið, svo heildarlokun á því millistykki kemur í veg fyrir einmitt þá tengingu sem myndi gera lokunina óþarfa. Undantekningin þarf að nefna þjóninn og gátt hans, og pakkinn þarf að fara út um eðlisfræðilegu gáttina frekar en inn í göng sem ekki eru komin upp.

Þriðja er þekjan. Reglusett sem lokar IPv4 og gleymir IPv6, eða leyfir staðbundna upplausnaranum að leita endastöðvarinnar og leyfir þar með hverja aðra leit, bregst opið einmitt í þeim glugga sem neyddarrofinn er til fyrir. Það er bil í hönnuninni, ekki villa í eldveggnum. Það er líka bilið sem lifir af hverja prófun á skrifborði.

Flokkunin er fyrsta hliðið

Skoðaðu hvað Windows heldur um millistykkin áður en þú skrifar eina reglu. Innfædd Windows VPN-tenging birtist venjulega sem fjartenging. Biðlari þriðja aðila sem býr til eigið sýndarmillistykki birtist oft sem snúra, sem þýðir að lokun takmörkuð við snúrumillistykki lokar líka göngunum.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundAction

Þriðja skipunin segir þér hvort sjálfgefin útleiðarlokun sé þegar í gildi, sem breytir allri lögun hönnunarinnar. Ef sjálfgefna gildið er þegar lokun ertu að skrifa leyfisreglur frekar en undantekningar frá gefandi grunni, og það er miklu auðveldari staða til að hugsa um.

Ef göngutengið þitt segist vera snúra er eldveggurinn einn ekki rétta verkfærið fyrir hönnun sem bregst lokuð, og engin stilling reglna breytir því. Þetta er tilfellið þar sem annað álitið í hverjum vettvangshlækk er rétt.

Undantekning endastöðvar þarf leið eins og reglu

Gerum ráð fyrir að flokkunin virki. Undantekningin er tveir hlutar, og þeir lifa í mismunandi undirkerfum. Regla eldveggsins leyfir umferðina; leið hýsilsins lætur hana fara út um rétta tengið á meðan göngin eru niðri.

New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
  -Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32

Án leiðarinnar hjálpar undantekningin aðeins á meðan sjálfgefin leið bendir enn á eðlisfræðilegu gáttina. Þegar biðlarinn setur upp sína eigin sjálfgefnu leið og deyr síðan eiga leyfðu pakkarnir enga skynsamlega leið og ekki er hægt að koma tengingunni aftur upp. Sú bilun lítur út eins og bilaður biðlari og er í raun vantar leið.

Haltu undantekningunni eins þröngri og biðlarinn leyfir. Eitt vistfang og ein gátt er yfirfara; svið sem þekur allt net veitandans er það ekki. Þessi víðtækari regla leyfir líka allt annað sem hýst er hjá sama veitanda, sem er venjulega meira en þú ætlaðir.

DNS og IPv6 eru þar sem það bregst opið

Nafnaupplausn er klassíska lekið. Ef endastöðin er hýsilsnafn verður biðlarinn að leysa það áður en göngin eru til, sem þýðir að leyfa verður eðlisfræðilega millistykkinu að ná upplausnara. Sama leyfið hleypir hverri annarri leit út á meðan göngin eru niðri, og ein leit nægir til að afhjúpa hvað þú varst að fara að skoða.

IPv6 er annað. Reglur skrifaðar fyrir IPv4 ná ekki yfir hina fjölskylduna, og margir biðlarar setja aðeins upp IPv4-leiðir. Þannig getur vél með innfædda IPv6-tengingu haldið áfram að tala við internetið á meðan IPv4-hliðin er stífluð, og neyddarrofinn tilkynnir árangur allan tímann.

Þriðja röðin er þess virði að skilja frekar en að fara fram hjá. Eldveggur ræður um pakka, ekki um hvaða tengi forrit bað um að nota, og erfitt getur verið að halda í skefjum forriti sem bindur sig berum orðum. Það er rök fyrir neyddarrofa á biðlarahlið sem vinnur fyrir neðan forritið, ekki fyrir fleiri reglum.

Prófaðu með því að stöðva biðlarann, ekki með því að toga snúruna

Eina prófunin sem hefur merkingu er sú sem líkir eftir biluninni sem þú verndar gegn. Stöðvaðu þjónustuna, dreptu ferlið eða gerðu millistykkið sem biðlarinn bjó til óvirkt, reyndu síðan að ná internetinu og nafni:

Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443

Öll þrjú ættu að mistakast. Ef fyrsta tekst er lokunin ekki í gildi; ef önnur tekst þar sem fyrsta mistókst ertu með DNS-leka; ef þriðja tekst er IPv6 ekki þakið. Hver útkoma bendir á nákvæmlega eitt bilanna hér að ofan.

Endurtaktu prófunina eftir svefn og vakningu, því eldveggsprófíllinn getur breyst þegar Windows ákveður að net sé opinbert eða einkarekið, og reglur bundnar prófílnum fylgja honum. Hönnun sem heldur á skrifborði og bregst í lest er hönnun sem var prófuð einu sinni.

Ef flokkunin hliðið eða DNS-krafan gerir nálgunina með eldveggnum einum óvirkjandi, er neyddarrofi á biðlarahlið heiðarlegt svar. Ef göngin enda frekar á beini ætti stefnan að vera beinisins, því ein regla þar þekur hvert tæki á bak við það og fer ekki eftir því hvernig Windows nefnir millistykki.