Неге VPN күйіне байланған firewall қақпасы тек ping ережесі емес

Атаулы VPN профилі қосылған сайын сервердің жария мекенжайы үшін ICMP echo-ны қосатын firewall ережесін елестетіңіз. Ол «тек туннель арқылы ping» деп оқылады, және бұл оқу маңызды түрде қате. Ереже кімнің хостқа жете алатынын шектемейді; ол басқа қосылым кездейсоқ белсенді болғанда жария интерфейстің неге жауап беретінін өзгертеді. Бұл екі түрлі саясат, және олардың біреуі әсерді тыныш кеңейтеді.

Сіз жаздым деп ойлаған ереже

Көзделген талап әдетте тар: мониторинг жүйесі немесе VPN-дегі жалғыз әкімші сервердің тірі екенін растай алуы керек. Сөйлем ретінде жазылса, ол туннельдегі кіруді бақылауға ұқсайды. Firewall нысаны ретінде жазылса, ол жария профильдегі шартқа айналады, өйткені echo сұранысы дәл сонда келеді.

Шарт бастапқы мекенжай емес, қосылым күйі болған соң, рұқсат етілген жіберушілер жиыны енді VPN серіктестерінің жиыны емес. Жария мекенжайға жете алатын кез келген адам қақпа ашық кезде echo сұранысын жібере алады. Туннель жол болған жоқ; туннель ажыратқыш болды.

Бұл идеяны насихаттаушылар әдетте қалаған әсері туралы өтірік айтпайды. Оларға байланыс сау болғанда ғана жауап беретін тексеру қажет еді, ал байланыстың саулығын VPN арқылы бақылау ең оңай болды. Қате — қолжетімділік сигналын кіру шешімі ретінде қабылдап, содан кейін оны автоматтандыру.

Қақпа шын мәнінде нені басқарады

Бұл дизайн екі тәуелсіз нәрсені біріктіреді, және оларды ажырату түзетудің басым бөлігі. Біріншісі — ауқым: қай жергілікті мекенжай, қай қашықтағы мекенжайлар, қай протокол және қай ICMP түрі. Екіншісі — шарт: ереже нысаны қазір қосылған ба, жоқ па. Ауқымды firewall әр пакет бойынша бағалайды; шартты script саясат қоймасына жазады, және екеуі мүлдем басқа сағаттармен үйлестіріледі.

Егер талап шынымен тек VPN серіктестері болса, ауқым оған қосылым күйінің ешқандай логикасынсыз жауап береді: ережені туннель интерфейсіне немесе туннель мекенжай ауқымына байлаңыз, қашықтағы мекенжайларды клиенттер пулымен шектеңіз және «ICMP» орнына echo түрін көрсетіңіз. Бұл ереже ешбір VPN қосылмаған кезде де дұрыс болып қалады және оны байланысы жоқ профиль аша алмайды.

Егер талап шынымен жария қақпа болса, оны саясат мәтінінде айтыңыз, өйткені қабылдау критерийлері өзгереді. Жария қақпа нақты профильді атауы, «қосылған» дегеннің не екенін анықтауы және жария жіберушілердің дизайн бойынша ауқымда екенін мәлімдеуі керек. Шатасудың көбі біреу сол сөйлемді жазуды мойнына алған сәтте жоғалады.

Нысанды бір рет құрып, содан кейін ауыстырыңыз

Тұрақты сәйкестендіргіші бар бір ережені алдын ала, өшірілген күйде дайындаңыз және контроллер тек оның қосылу күйін өзгертсін. Әр іске қосуда көрсетілетін атау бойынша ереже құру — саясат қоймасының бес дерлік бірдей нысанмен және оларды жоюдың сенімді жолы жоқ күйге жету жолы.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Атау — тұрақты идентификатор; көрсетілетін атау — адам өңдей алатын құжаттама. -Name бойынша үйлестіріңіз, script көшірмелер жасауды тоқтатады. Сол команда пішімі IPv6 жағдайын -Protocol ICMPv6 -IcmpType 128-мен қамтиды, бірақ бұл жеке ереже, өйткені echo түрінің нөмірлері екі отбасы арасында өзгеше.

Мекенжай отбасы мен ICMP түрін ашық ұстаңыз, екінші себеп те бар: -Protocol ICMPv4 түрсіз профиль рұқсат ететін әрбір ICMPv4 хабарламасына жол береді, оның ішінде қабылдауды ешқашан ойламағандарыңыз да бар. 8 түрін атау ережені echo сұранысына тарылтады, және қолжетімділікті тексеру тек соны жібереді.

Автоматтандыру ниетке қай жерде қайшы келеді

Клиент профилін бірнеше минут сайын сұрау лездік шекара бере алмайды. Байланыс үзілгеннен кейінгі сұрауға дейін ереже жария мекенжай бойынша жауап береді; байланыс көтерілгеннен кейінгі сұрауға дейін жауап бермейді. Бұл кідірісті мойындау адал, ал дизайн қатаң инвариантты талап етеді деп мәлімдеу адал емес.

Күй тексеруінің өзінде ауқым тұзағы бар. Get-VpnConnection машинада конфигурацияланған клиент профильдерін хабарлайды, әдепкіде ағымдағы пайдаланушы үшін және -AllUserConnection арқылы барлық пайдаланушы үшін. Ол қазір RRAS серверіне қосылған қашықтағы пайдаланушыларды хабарламайды; бұл басқа командамен жасалатын басқа бақылау. Қатесіне салынған қақпа ештеңемен байланыспаған.

Содан кейін ешкім script жасамайтын күйлерді жабыңыз: алдыңғы іске қосудан ереже қосылып қалған күйде іске қосу, қақпа ашық кезде контроллердің құлауы және профиль жойылса да оның ережесі тірі қалуы. Әрқайсысына анықталған әдепкі қажет, ал жария рұқсат үшін қауіпсіз әдепкі — өшіру. Егер талап сұрау терезесін шынымен көтере алмаса, күйге байланған ереже — қате құрал, ал орындау туннельге тиесілі, жария интерфейске емес.

Соңында, жария сұранысты екі рет сынаңыз: бір рет таңдалған қосылым қосулы, бір рет өшірулі күйде, VPN-де жоқ хосттан. Туннель ішінен сәтті ping бұл саясат туралы ештеңе дәлелдемейді, және көптеген орналастырулар дәл осы өлшеуді өткізіп жібереді.