Windows ಫೈರ್‌ವಾಲ್ ಮಾತ್ರ VPN ಕಿಲ್ ಸ್ವಿಚ್ ಆಗಿ: ನಿಲ್ಲುತ್ತದೆಯೇ?
ಇಂಟರ್ಫೇಸ್ ಪ್ರಕಾರದ ನಿಯಮಗಳು ಭೌತಿಕ ಅಡಾಪ್ಟರ್‌ಗಳನ್ನು ನಿರ್ಬಂಧಿಸಬಹುದು, ಆದರೆ ತೃತೀಯ ಪಕ್ಷದ ಸುರಂಗ ಸಾಮಾನ್ಯವಾಗಿ ತಂತಿಯಂತೆ ಕಾಣುತ್ತದೆ. ವರ್ಗೀಕರಣ, ಅಂತಿಮ ಬಿಂದು ಮಾರ್ಗ, ನಂತರ DNS ಪರಿಶೀಲಿಸಿ.
Windows ಫೈರ್‌ವಾಲ್ ಸ್ವಂತವಾಗಿ ಕಿಲ್ ಸ್ವಿಚ್ ಆಗಿ ಕೆಲಸ ಮಾಡಬಹುದೇ ಎಂದು ಕೇಳಿದರೆ ನಿಮಗೆ ಎರಡು ಆತ್ಮವಿಶ್ವಾಸದ ಮತ್ತು ಹೊಂದಿಕೆಯಾಗದ ಉತ್ತರಗಳು ಸಿಗುತ್ತವೆ. ಒಂದು ಇಂಟರ್ಫೇಸ್ ಪ್ರಕಾರದ ನಿಯಮವೇ ಇಡೀ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತದೆ; ಇನ್ನೊಂದು ಸ್ಕ್ರಿಪ್ಟ್ ಇಲ್ಲದೆ ಅದು ಕೆಲಸ ಮಾಡುವುದಿಲ್ಲ ಎನ್ನುತ್ತದೆ. ಎರಡೂ ಒಂದೇ ಕಾರ್ಯವಿಧಾನದ ಅರ್ಧವನ್ನು ವಿವರಿಸುತ್ತವೆ. ಫೈರ್‌ವಾಲ್ ನಿರ್ಬಂಧವನ್ನು ವ್ಯಕ್ತಪಡಿಸಬಲ್ಲದು, ಮತ್ತು ಫಲಿತಾಂಶ ನಿಜವಾಗಿ ಮುಚ್ಚಿದ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆಯೇ ಎಂಬುದು ಮೂರು ಅಂಶಗಳ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿದೆ: Windows ಸುರಂಗ ಅಡಾಪ್ಟರ್ ಅನ್ನು ಹೇಗೆ ವರ್ಗೀಕರಿಸುತ್ತದೆ, ಅಂತಿಮ ಬಿಂದು ವಿನಾಯಿತಿ ಉಳಿಯುತ್ತದೆಯೇ, ಮತ್ತು ಹೆಸರು ವಿಭೇದನ ಹಾಗೂ IPv6 ಆವರಿಸಲ್ಪಟ್ಟಿವೆಯೇ. ಇವುಗಳಲ್ಲಿ ಒಂದನ್ನು ತಪ್ಪಿಸಿದರೆ ಯಂತ್ರವು ಸೋರಿಕೆಯಾಗುತ್ತದೆ ಅಥವಾ ಎಲ್ಲಾ ಸಂಪರ್ಕವನ್ನು ಕಳೆದುಕೊಳ್ಳುತ್ತದೆ.
ಮೂರು ಷರತ್ತುಗಳು, ಈ ಕ್ರಮದಲ್ಲಿ
ಮೊದಲ ಷರತ್ತು ವರ್ಗೀಕರಣ, ಮತ್ತು ನೀವು ಬಯಸುವ ನಿಯಮವು ಸಾಧ್ಯವೇ ಎಂಬುದನ್ನು ಅದು ನಿರ್ಧರಿಸುತ್ತದೆ. Windows ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳನ್ನು ಇಂಟರ್ಫೇಸ್ ಪ್ರಕಾರದಿಂದ ಸೀಮಿತಗೊಳಿಸಬಹುದು: ತಂತಿಯ, ತಂತಿರಹಿತ ಅಥವಾ ದೂರ ಪ್ರವೇಶ. ಭೌತಿಕ ಪ್ರಕಾರಗಳಲ್ಲಿ ಹೊರಹೋಗುವ ಸಂಚಾರವನ್ನು ನಿರ್ಬಂಧಿಸಿ ಸುರಂಗಕ್ಕೆ ಅನುಮತಿ ನೀಡುವ ನೀತಿಯು Windows ಸುರಂಗವನ್ನು ದೂರ ಪ್ರವೇಶವೆಂದು ಗುರುತಿಸಿದರೆ ಮಾತ್ರ ಕೆಲಸ ಮಾಡುತ್ತದೆ.
ಎರಡನೇ ಷರತ್ತು ಅಂತಿಮ ಬಿಂದು ವಿನಾಯಿತಿ. ಯಾವುದೇ ಸುರಂಗ ಇರುವ ಮೊದಲು, ಕ್ಲೈಂಟ್ ಭೌತಿಕ ಅಡಾಪ್ಟರ್ ಮೂಲಕ VPN ಸರ್ವರ್ ತಲುಪಬೇಕು, ಆದ್ದರಿಂದ ಆ ಅಡಾಪ್ಟರ್‌ನಲ್ಲಿ ಸಂಪೂರ್ಣ ನಿರ್ಬಂಧವು ನಿರ್ಬಂಧವನ್ನು ಅನಗತ್ಯಗೊಳಿಸುವ ಸಂಪರ್ಕವನ್ನೇ ತಡೆಯುತ್ತದೆ. ವಿನಾಯಿತಿಯು ಸರ್ವರ್ ಮತ್ತು ಅದರ ಪೋರ್ಟ್ ಹೆಸರಿಸಬೇಕು, ಮತ್ತು ಪ್ಯಾಕೆಟ್ ಇನ್ನೂ ಮೇಲೆದ್ದಿಲ್ಲದ ಸುರಂಗಕ್ಕಲ್ಲ, ಭೌತಿಕ ಗೇಟ್‌ವೇ ಮೂಲಕ ಹೊರಹೋಗಬೇಕು.
ಮೂರನೆಯದು ವ್ಯಾಪ್ತಿ. IPv4 ನಿರ್ಬಂಧಿಸಿ IPv6 ಮರೆಯುವ, ಅಥವಾ ಅಂತಿಮ ಬಿಂದು ಹುಡುಕಾಟಕ್ಕೆ ಸ್ಥಳೀಯ ರಿಜಾಲ್ವರ್‌ಗೆ ಅನುಮತಿ ನೀಡಿ ಆ ಮೂಲಕ ಪ್ರತಿ ಇತರ ಹುಡುಕಾಟಕ್ಕೂ ಅನುಮತಿ ನೀಡುವ ನಿಯಮ ಸಮೂಹವು ಕಿಲ್ ಸ್ವಿಚ್ ಇರುವುದೇ ಆ ಕಿಟಕಿಯಲ್ಲಿ ತೆರೆದು ವಿಫಲವಾಗುತ್ತದೆ. ಇದು ವಿನ್ಯಾಸದ ಕೊರತೆ, ಫೈರ್‌ವಾಲ್ ದೋಷವಲ್ಲ. ಮೇಜಿನ ಮೇಲಿನ ಪ್ರತಿ ಪರೀಕ್ಷೆಯನ್ನೂ ದಾಟುವ ಕೊರತೆ ಇದೇ.
ವರ್ಗೀಕರಣವೇ ಮೊದಲ ದ್ವಾರ
ಒಂದು ನಿಯಮ ಬರೆಯುವ ಮೊದಲು Windows ಅಡಾಪ್ಟರ್‌ಗಳ ಬಗ್ಗೆ ಏನು ಭಾವಿಸುತ್ತದೆ ಎಂದು ನೋಡಿ. Windows ನ ಸ್ವಂತ VPN ಸಂಪರ್ಕ ಸಾಮಾನ್ಯವಾಗಿ ದೂರ ಪ್ರವೇಶವಾಗಿ ಕಾಣಿಸುತ್ತದೆ. ತನ್ನದೇ ವರ್ಚುವಲ್ ಅಡಾಪ್ಟರ್ ರಚಿಸುವ ತೃತೀಯ ಪಕ್ಷದ ಕ್ಲೈಂಟ್ ಸಾಮಾನ್ಯವಾಗಿ ತಂತಿಯಂತೆ ಕಾಣಿಸುತ್ತದೆ, ಅಂದರೆ ತಂತಿಯ ಅಡಾಪ್ಟರ್‌ಗಳಿಗೆ ಸೀಮಿತವಾದ ನಿರ್ಬಂಧವು ಸುರಂಗವನ್ನೂ ನಿರ್ಬಂಧಿಸುತ್ತದೆ.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionಮೂರನೇ ಆಜ್ಞೆ ಡೀಫಾಲ್ಟ್ ಹೊರಹೋಗುವ ನಿರ್ಬಂಧ ಈಗಾಗಲೇ ಜಾರಿಯಲ್ಲಿದೆಯೇ ಎಂದು ಹೇಳುತ್ತದೆ, ಇದು ವಿನ್ಯಾಸದ ಇಡೀ ಆಕಾರವನ್ನು ಬದಲಿಸುತ್ತದೆ. ಡೀಫಾಲ್ಟ್ ಈಗಾಗಲೇ ನಿರ್ಬಂಧವಾಗಿದ್ದರೆ, ನೀವು ಅನುಮತಿಸುವ ಮೂಲಕ್ಕೆ ವಿನಾಯಿತಿಗಳಲ್ಲ, ಅನುಮತಿ ನಿಯಮಗಳನ್ನು ಬರೆಯುತ್ತಿದ್ದೀರಿ, ಮತ್ತು ಅದರ ಬಗ್ಗೆ ಯೋಚಿಸುವುದು ತುಂಬಾ ಸುಲಭ.
ನಿಮ್ಮ ಸುರಂಗ ಅಡಾಪ್ಟರ್ ತಂತಿಯೆಂದು ವರದಿ ಮಾಡಿದರೆ, ಮುಚ್ಚಿದ ವೈಫಲ್ಯದ ವಿನ್ಯಾಸಕ್ಕೆ ಫೈರ್‌ವಾಲ್ ಮಾತ್ರ ಸರಿಯಾದ ಸಾಧನವಲ್ಲ, ಮತ್ತು ಎಷ್ಟೇ ನಿಯಮ ತಿದ್ದಿದರೂ ಅದು ಬದಲಾಗುವುದಿಲ್ಲ. ಪ್ರತಿ ಫೋರಂ ಥ್ರೆಡ್‌ನ ಎರಡನೇ ಅಭಿಪ್ರಾಯ ಸರಿಯಾಗಿರುವ ಸಂದರ್ಭ ಇದೇ.
ಅಂತಿಮ ಬಿಂದು ವಿನಾಯಿತಿಗೆ ನಿಯಮದೊಂದಿಗೆ ಮಾರ್ಗವೂ ಬೇಕು
ವರ್ಗೀಕರಣ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂದು ಊಹಿಸಿ. ವಿನಾಯಿತಿ ಎರಡು ಭಾಗಗಳಿಂದ ಕೂಡಿದೆ, ಮತ್ತು ಅವು ಬೇರೆ ಬೇರೆ ಉಪವ್ಯವಸ್ಥೆಗಳಲ್ಲಿ ವಾಸಿಸುತ್ತವೆ. ಫೈರ್‌ವಾಲ್ ನಿಯಮ ಸಂಚಾರಕ್ಕೆ ಅನುಮತಿ ನೀಡುತ್ತದೆ; ಹೋಸ್ಟ್ ಮಾರ್ಗವು ಸುರಂಗ ಕೆಳಗಿರುವಾಗ ಅದನ್ನು ಸರಿಯಾದ ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ಹೊರಕ್ಕೆ ಕಳುಹಿಸುತ್ತದೆ.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32ಮಾರ್ಗ ಇಲ್ಲದೆ ವಿನಾಯಿತಿ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗ ಇನ್ನೂ ಭೌತಿಕ ಗೇಟ್‌ವೇಗೆ ತೋರಿಸುತ್ತಿರುವವರೆಗೆ ಮಾತ್ರ ಸಹಾಯ ಮಾಡುತ್ತದೆ. ಕ್ಲೈಂಟ್ ತನ್ನದೇ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗವನ್ನು ಸ್ಥಾಪಿಸಿ ನಂತರ ಸತ್ತರೆ, ಅನುಮತಿಸಿದ ಪ್ಯಾಕೆಟ್‌ಗಳಿಗೆ ಹೋಗಲು ಅರ್ಥಪೂರ್ಣ ಸ್ಥಳವಿಲ್ಲ ಮತ್ತು ಸಂಪರ್ಕವನ್ನು ಮರುಸ್ಥಾಪಿಸಲಾಗದು. ಆ ವೈಫಲ್ಯ ಮುರಿದ ಕ್ಲೈಂಟ್‌ನಂತೆ ಕಾಣುತ್ತದೆ, ವಾಸ್ತವವಾಗಿ ಕಾಣೆಯಾದ ಮಾರ್ಗ.
ಕ್ಲೈಂಟ್ ಅನುಮತಿಸುವಷ್ಟು ವಿನಾಯಿತಿಯನ್ನು ಸಂಕುಚಿತವಾಗಿ ಇರಿಸಿ. ಒಂದು ವಿಳಾಸ ಮತ್ತು ಒಂದು ಪೋರ್ಟ್ ಪರಿಶೀಲನೀಯ; ಪೂರೈಕೆದಾರರ ಇಡೀ ಜಾಲವನ್ನು ಆವರಿಸುವ ಶ್ರೇಣಿ ಅಲ್ಲ. ಆ ವಿಶಾಲ ನಿಯಮವು ಅದೇ ಪೂರೈಕೆದಾರರಲ್ಲಿ ಹೋಸ್ಟ್ ಆಗಿರುವ ಎಲ್ಲದಕ್ಕೂ ಅನುಮತಿ ನೀಡುತ್ತದೆ, ಅದು ಸಾಮಾನ್ಯವಾಗಿ ನೀವು ಉದ್ದೇಶಿಸಿದ್ದಕ್ಕಿಂತ ಹೆಚ್ಚು.
DNS ಮತ್ತು IPv6 ಎಂಬುದೇ ಅದು ತೆರೆದು ವಿಫಲವಾಗುವ ಸ್ಥಳ
ಹೆಸರು ವಿಭೇದನ ಸಾಂಪ್ರದಾಯಿಕ ಸೋರಿಕೆ. ಅಂತಿಮ ಬಿಂದು ಹೋಸ್ಟ್‌ಹೆಸರಾಗಿದ್ದರೆ, ಸುರಂಗ ಇರುವ ಮೊದಲು ಕ್ಲೈಂಟ್ ಅದನ್ನು ಬಿಡಿಸಬೇಕು, ಅಂದರೆ ಭೌತಿಕ ಅಡಾಪ್ಟರ್‌ಗೆ ರಿಜಾಲ್ವರ್ ತಲುಪಲು ಅನುಮತಿ ನೀಡಬೇಕು. ಅದೇ ಅನುಮತಿ ಸುರಂಗ ಕೆಳಗಿರುವಾಗ ಪ್ರತಿ ಇತರ ಹುಡುಕಾಟವನ್ನೂ ಹೊರಕ್ಕೆ ಬಿಡುತ್ತದೆ, ಮತ್ತು ಒಂದು ಹುಡುಕಾಟವೇ ನೀವು ಭೇಟಿ ನೀಡಲಿದ್ದದ್ದನ್ನು ಬಹಿರಂಗಪಡಿಸಲು ಸಾಕು.
IPv6 ಎರಡನೆಯದು. IPv4 ಗಾಗಿ ಬರೆದ ನಿಯಮಗಳು ಇನ್ನೊಂದು ಕುಟುಂಬವನ್ನು ಆವರಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಅನೇಕ ಕ್ಲೈಂಟ್‌ಗಳು IPv4 ಮಾರ್ಗಗಳನ್ನು ಮಾತ್ರ ಸ್ಥಾಪಿಸುತ್ತವೆ. ಆದ್ದರಿಂದ ಸ್ವಂತ IPv6 ಸಂಪರ್ಕವಿರುವ ಯಂತ್ರವು IPv4 ಭಾಗವು ಬಿಗಿಯಾಗಿ ನಿರ್ಬಂಧಿತವಾಗಿದ್ದರೂ ಇಂಟರ್ನೆಟ್‌ನೊಂದಿಗೆ ಮಾತನಾಡುವುದನ್ನು ಮುಂದುವರಿಸಬಹುದು, ಮತ್ತು ಕಿಲ್ ಸ್ವಿಚ್ ಇಡೀ ಸಮಯ ಯಶಸ್ಸನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
ಮೂರನೇ ಸಾಲನ್ನು ತಪ್ಪಿಸುವ ಬದಲು ಅರ್ಥ ಮಾಡಿಕೊಳ್ಳಬೇಕು. ಫೈರ್‌ವಾಲ್ ಪ್ಯಾಕೆಟ್‌ಗಳ ಬಗ್ಗೆ ನಿರ್ಧರಿಸುತ್ತದೆ, ಅಪ್ಲಿಕೇಶನ್ ಯಾವ ಇಂಟರ್ಫೇಸ್ ಬಳಸಬೇಕೆಂದು ಕೇಳಿದೆಯಾ ಎಂಬುದರ ಬಗ್ಗೆ ಅಲ್ಲ, ಮತ್ತು ಸ್ಪಷ್ಟವಾಗಿ ಬೈಂಡ್ ಆಗುವ ಪ್ರೋಗ್ರಾಂ ಅನ್ನು ಹಿಡಿತದಲ್ಲಿಡುವುದು ಕಷ್ಟವಾಗಬಹುದು. ಇದು ಅಪ್ಲಿಕೇಶನ್‌ನ ಕೆಳಗೆ ಕೆಲಸ ಮಾಡುವ ಕ್ಲೈಂಟ್-ಬದಿಯ ಕಿಲ್ ಸ್ವಿಚ್ ಪರವಾದ ವಾದ, ಹೆಚ್ಚು ನಿಯಮಗಳ ಪರವಲ್ಲ.
ಕೇಬಲ್ ಎಳೆಯುವುದರಿಂದಲ್ಲ, ಕ್ಲೈಂಟ್ ನಿಲ್ಲಿಸುವುದರಿಂದ ಪರೀಕ್ಷಿಸಿ
ಅರ್ಥಪೂರ್ಣವಾದ ಏಕೈಕ ಪರೀಕ್ಷೆ ನೀವು ರಕ್ಷಿಸುತ್ತಿರುವ ವೈಫಲ್ಯವನ್ನು ಅನುಕರಿಸುವುದು. ಸೇವೆಯನ್ನು ನಿಲ್ಲಿಸಿ, ಪ್ರಕ್ರಿಯೆಯನ್ನು ಕೊಲ್ಲಿರಿ, ಅಥವಾ ಕ್ಲೈಂಟ್ ರಚಿಸಿದ ಅಡಾಪ್ಟರ್ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ, ನಂತರ ಇಂಟರ್ನೆಟ್ ಮತ್ತು ಹೆಸರನ್ನು ತಲುಪಲು ಪ್ರಯತ್ನಿಸಿ:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443ಮೂರೂ ವಿಫಲವಾಗಬೇಕು. ಮೊದಲನೆಯದು ಯಶಸ್ವಿಯಾದರೆ ನಿರ್ಬಂಧ ಜಾರಿಯಲ್ಲಿಲ್ಲ; ಮೊದಲನೆಯದು ವಿಫಲವಾದಲ್ಲಿ ಎರಡನೆಯದು ಯಶಸ್ವಿಯಾದರೆ ನಿಮಗೆ DNS ಸೋರಿಕೆ ಇದೆ; ಮೂರನೆಯದು ಯಶಸ್ವಿಯಾದರೆ IPv6 ಆವರಿಸಲ್ಪಟ್ಟಿಲ್ಲ. ಪ್ರತಿ ಫಲಿತಾಂಶವೂ ಮೇಲಿನ ಕೊರತೆಗಳಲ್ಲಿ ನಿಖರವಾಗಿ ಒಂದನ್ನು ಸೂಚಿಸುತ್ತದೆ.
ನಿದ್ರೆ ಮತ್ತು ಎಚ್ಚರದ ನಂತರ ಪರೀಕ್ಷೆಯನ್ನು ಪುನರಾವರ್ತಿಸಿ, ಏಕೆಂದರೆ Windows ಜಾಲವನ್ನು ಸಾರ್ವಜನಿಕ ಅಥವಾ ಖಾಸಗಿ ಎಂದು ನಿರ್ಧರಿಸಿದಾಗ ಫೈರ್‌ವಾಲ್ ಪ್ರೊಫೈಲ್ ಬದಲಾಗಬಹುದು, ಮತ್ತು ಪ್ರೊಫೈಲ್‌ಗೆ ಸೀಮಿತವಾದ ನಿಯಮಗಳು ಅದನ್ನು ಅನುಸರಿಸುತ್ತವೆ. ಮೇಜಿನ ಮೇಲೆ ನಿಲ್ಲುವ ಮತ್ತು ರೈಲಿನಲ್ಲಿ ವಿಫಲವಾಗುವ ವಿನ್ಯಾಸ ಒಮ್ಮೆ ಪರೀಕ್ಷಿಸಿದ ವಿನ್ಯಾಸ.
ವರ್ಗೀಕರಣದ ದ್ವಾರ ಅಥವಾ DNS ಅಗತ್ಯವು ಫೈರ್‌ವಾಲ್-ಮಾತ್ರ ವಿಧಾನವನ್ನು ಅಪ್ರಾಯೋಗಿಕಗೊಳಿಸಿದರೆ, ಕ್ಲೈಂಟ್-ಬದಿಯ ಕಿಲ್ ಸ್ವಿಚ್ ಪ್ರಾಮಾಣಿಕ ಉತ್ತರ. ಸುರಂಗ ಬದಲಿಗೆ ರೌಟರ್‌ನಲ್ಲಿ ಕೊನೆಗೊಂಡರೆ, ನೀತಿ ರೌಟರ್‌ನದ್ದಾಗಿರಬೇಕು, ಏಕೆಂದರೆ ಅಲ್ಲಿನ ಒಂದು ನಿಯಮ ಅದರ ಹಿಂದಿನ ಪ್ರತಿ ಸಾಧನವನ್ನೂ ಆವರಿಸುತ್ತದೆ ಮತ್ತು Windows ಅಡಾಪ್ಟರ್‌ಗೆ ಏನು ಹೆಸರಿಡುತ್ತದೆ ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿಲ್ಲ.