Firewall профильдері мен VPN шығысы: неге қоғамдық жол емес
Firewall профилі қай ережелер жиынтығы қолданылатынын таңдайды. Ол пакетті қай интерфейс тасығаны туралы ештеңе айтпайды, ал айқын блоктау тар рұқсаттан басым.
Ереже нақты естіледі: жеке профильде жергілікті трафикке, қоғамдық профильде тек VPN трафигіне рұқсат бер. Бірақ олай емес, өйткені желі профилі қай firewall ережелер жиынтығы қолданылатынын таңдайды және пакетті қай адаптер тасығаны туралы ештеңе айтпайды. Профиль атауын жол талабы ретінде қарау — шектелген шығыс жобасын аяқталмаса да аяқталғандай көрсететін қате.
Алдымен ағындарды жазып алыңыз, содан кейін олардың әрқайсысын шынымен орындай алатын механизмді шешіңіз. Сол ағындар тізімі келесі ереже өзгерісінен аман қалатын жалғыз артефакт.
Санат ережелерді таңдайды, маршруттарды емес
Windows желіні қоғамдық немесе жеке деп жіктегенде, firewall осы профиль үшін конфигурацияланған ережелер жиынтығын қолданады. Жіктеу адаптер қосылған желіге сүйенеді, ал ережелер жиынтығы онда неге рұқсат етілгенін шешеді. Бұл фактілердің ешқайсысы қосымша трафигінің туннельді пайдаланғанына тәуелді емес. Дәл осы тәуелсіздік — бүкіл қиындық.
Жолды таңдауды маршруттау жасайды, интерфейс метрикасы мен туннель орнататын префикс арқылы. Сондықтан профиль қоғамдық деп белгіленуі мүмкін, ал қосымшаның қосылымы физикалық жолмен жүреді, және firewall бәрібір қоғамдық ережелер жиынтығы қолданылғанын хабарлайды.
Сондықтан профильге шектелген ереже тек туннель дегенді білдіре алмайды. Бұл екі қасиетті әртүрлі компоненттер шешеді және бірі екіншісін алмастыра алмайды.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
Айқын блоктау тар рұқсаттан басым
Microsoft-тың firewall ережелері жөніндегі нұсқаулығы әдепкі блоктау әрекетіне берілген рұқсат ерекшелігін рұқсатқа қайшы келетін айқын блоктаудан ажыратады. Айқын блоктаулар сол қайшылықта жеңеді, ал шығыс ережелері де сол басымдыққа бағынады.
Сондықтан бәрін блоктайтын ереже қосып, оның үстіне қойылған тар рұқсатқа сүйенудің танымал рецепті авторы күткенді істемейді. Windows Firewall қайшылықты әкімші тағайындаған ереже ретімен шешпейді. Блоктау жай ғана қолданылады, ал қосылып жатқан қосымша уақыт үзілуі туралы хабарлайды. Ерекшелікке ұқсаған ереже ешқашан ойында болған емес.
Қолдау көрсетілетін нысан — мақұлданған рұқсат ережелері бар әдепкі тыйым салу саясаты, мұнда әрбір рұқсат бағдарламаны, қызметті немесе межені тексеруге жеткілікті дәл атайды. Мұндай жоба аудиттен өтеді, өйткені әрбір ерекшелік көрінеді және олардың ешқайсысы жасалу ретіне тәуелді емес.
Бір-біріне қайшы екі ереже бір ережеден нашар, өйткені нәтижелі мінез-құлық бір уақытта дұрыс әрі түсініксіз.
Шығыс саясатына бір ие беріңіз
Қолдау көрсетілетін VPN клиенті өзінің блоктау мінез-құлқын және өзінің соңғы нүкте ерекшеліктерін қазірдің өзінде ұстап тұрады. Үйлестірілмеген қолмен жасалған ережелерді қосу сол клиентті реттеу үшін қажет туннельден тыс қалдыруы немесе ешкім байқамаған екінші жолды ашық қалдыруы мүмкін.
Ереже жазудан бұрын шығыс саясаты кімге тиесілі екенін шешіңіз: клиенттің өз конфигурациясы, басқарылатын firewall саясаты немесе иесі бар құжатталған жергілікті ерекшеліктер тізімі. Содан кейін бірдеңе қосылғанша тәжірибелерді үйіп қоюдың орнына қабаттарды үйлестіріңіз. Аталған ие — екі қабат келіспегенде сұрайтын адамыңыз да.
Бірдеңені өзгертуден бұрын қалпына келтіру арнасын сақтаңыз. Өз басқару жолынан тыс құлыпталған қашықтағы машина жапқалы жатқан саясат кемтігінен де нашар нәтиже. Қалпына келтіру ережесін алдын ала жазып қойса, оны ақтау оңайырақ, ал өзгеріс ешкімге ұнамайтын сағатта сәтсіз болса, оны табу да оңайырақ.
Белгіні оқудың орнына төрт нәтижені тексеріңіз
Саясат қанша жағдайды ажырата алса, сонша жақсы, сондықтан профиль белгісін нәтиже емес, бастапқы нүкте деп қараңыз. Төрт нәтиже оның жұмыс істейтінін айтады: көзделген LAN сұранысы сәтті болады, қамтылған интернет сұранысы сәтті болады, тыйым салынған тікелей сұраныс сәтсіз болады, ал туннель ақауы жағдайы үнсіз кері шегінудің орнына жобаланғандай әрекет етеді. Төрт нәтижені ереже өзгерісінің жанына жазыңыз. Төрт аталған жағдайы бар тест жоспары әр жолы іске қосуға жеткілікті қысқа және қатты сәтсіз болуға жеткілікті нақты.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
Бірінші команда әрбір қосылған желінің қалай жіктелгенін көрсетеді, бұл көбіне ережені жазған адам болжаған нәрсе емес. Екіншісі әр профиль үшін әдепкі әрекетті көрсетеді, үшіншісі қосылған шығыс блоктауларын тізімдейді, оның ішінде тар рұқсатты үнсіз жоятындары да бар.
Желі өзгергеннен кейін төрт жағдайды қайта іске қосыңыз, өйткені машина басқа желіге қосылғанда профиль қайта жіктелуі мүмкін. Сәйкес келетін профиль белгісі жолдың сіз көздеген жол болғанының дәлелі емес.