Firewall профилдери жана VPN чыгымы: эмне үчүн коомдук жол эмес
Firewall профили кайсы эрежелер топтому колдонуларын тандайт. Ал пакетти кайсы интерфейс ташыганын айтпайт, ал эми ачык блоктоо тар уруксаттан басымдуу.
Эреже так угулат: жеке профилде жергиликтүү трафикке, коомдук профилде болсо гана VPN трафигине уруксат бер. Бирок андай эмес, анткени тармак профили кайсы firewall эрежелер топтому колдонуларын тандайт жана пакетти кайсы адаптер ташыганын айтпайт. Профилдин атын жол талабы катары кароо — чектелген чыгым долбоорун бүтпөсө да бүткөндөй көрсөткөн ката.
Алгач агымдарды жазып алыңыз, анан алардын ар бирин чынында эле аткара ала турган механизмди чечиңиз. Ошол агымдар тизмеси кийинки эреже өзгөрүүсүнөн аман калган жалгыз артефакт.
Категория эрежелерди тандайт, маршруттарды эмес
Windows тармакты коомдук же жеке деп классификациялаганда, firewall ошол профил үчүн конфигурацияланган эрежелер топтомун колдонот. Классификация адаптер кошулган тармакка ээрчийт, ал эми эрежелер топтому анын үстүндө эмнеге уруксат берилгенин чечет. Бул фактылардын эч бири колдонмонун трафиги туннелди колдонгонуна көз каранды эмес. Ушул көз карандысыздык — бүткүл кыйынчылык.
Жол тандоону маршруттоо жасайт, интерфейс метрикасы жана туннел орноткон префикс аркылуу. Ошондуктан профил коомдук деп белгилениши мүмкүн, ал эми колдонмонун байланышы физикалык жолду алат, жана firewall баары бир коомдук эрежелер топтому колдонулганын билдирет.
Ошондуктан профилге чектелген эреже туннел гана дегенди билдире албайт. Бул эки касиетти ар башка компоненттер чечет жана бири экинчисин алмаштыра албайт.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
Ачык блоктоо тар уруксаттан басымдуу
Microsoft'тун firewall эрежелери боюнча көрсөтмөсү демейки блоктоо аракетине берилген уруксат өзгөчөлүгүн уруксатка каршы келген ачык блоктоодон ажыратат. Ачык блоктоолор ошол карама-каршылыкта жеңет, ал эми чыгуучу эрежелер да ушундай артыкчылыкка багынат.
Ошондуктан баарын блоктогон эреже кошуп, анын үстүнө коюлган тар уруксатка таянуунун белгилүү рецепти автору күткөндү аткарбайт. Windows Firewall карама-каршылыкты администратор дайындаган эреже тартиби менен чечпейт. Блоктоо жөн эле колдонулат, ал эми туташып жаткан колдонмо убакыт бүткөнүн билдирет. Өзгөчөлүккө окшогон эреже эч качан оюнда болгон эмес.
Колдоого алынган форма — бекитилген уруксат эрежелери бар демейки тыюу салуу саясаты, мында ар бир уруксат программаны, кызматты же багытты текшерүүгө жетиштүү так атайт. Мындай долбоор аудиттен өтөт, анткени ар бир өзгөчөлүк көрүнөт жана алардын эч бири түзүлүү тартибине көз каранды эмес.
Бири-бирине каршы келген эки эреже бир эрежеден жаман, анткени натыйжалуу жүрүм-турум бир эле учурда туура жана түшүндүрүүгө келгис.
Чыгуучу саясатка бир ээ бер
Колдоого алынган VPN кардары мурунтан эле өзүнүн блоктоо жүрүм-турумун жана өзүнүн акыркы чекит өзгөчөлүктөрүн кармап турат. Шайкештелип калбаган кол менен жасалган эрежелерди кошуу ошол кардарды жөндөө үчүн керектүү туннелден тышкары калтырышы же эч ким байкабаган экинчи жолду ачык калтырышы мүмкүн.
Эреже жазардан мурун чыгуучу саясат кимге таандык экенин чечиңиз: кардардын өзүнүн конфигурациясы, башкарылуучу firewall саясаты же ээси бар документтелген жергиликтүү өзгөчөлүктөр тизмеси. Анан бир нерсе туташканга чейин тажрыйбаларды үйүп коюунун ордуна катмарларды шайкештештириңиз. Аталган ээ — эки катмар макулдашпаганда сурай турган адамыңыз да.
Бир нерсени өзгөртүүдөн мурун калыбына келтирүү каналын сактаңыз. Өзүнүн башкаруу жолунан тышкары кулпуланган алыскы машина жабылып жаткан саясат кемтигинен да жаман натыйжа. Калыбына келтирүү эрежесин алдын ала жазып койсоңуз, аны негиздөө жеңил, ал эми өзгөрүү эч кимге жакпаган саатта ийгиликсиз болсо, аны табуу да жеңил.
Белгини окуунун ордуна төрт натыйжаны текшериңиз
Саясат канча учурду ажырата алса, ошончо жакшы, ошондуктан профиль белгисин натыйжа эмес, баштапкы чекит деп караңыз. Төрт натыйжа анын иштешин айтат: көздөлгөн LAN сурамы ийгиликтүү болот, камтылган интернет сурамы ийгиликтүү болот, тыюу салынган түз сурам ийгиликсиз болот, ал эми туннелдин бузулушу үнсүз чегинүүнүн ордуна долбоордогудай жүрөт. Төрт натыйжаны эреже өзгөрүүсүнүн жанына жазыңыз. Төрт аталган учуру бар сыноо планы ар жолу иштетүүгө жетиштүү кыска жана катуу ийгиликсиз болууга жетиштүү так.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
Биринчи буйрук ар бир туташкан тармактын кантип классификацияланганын көрсөтөт, бул көбүнчө эрежени жазган адам болжолдогон нерсе эмес. Экинчиси ар бир профил үчүн демейки аракетти көрсөтөт, үчүнчүсү күйгүзүлгөн чыгуучу блоктоолорду тизмелейт, анын ичинде тар уруксатты үнсүз жокко чыгара тургандары да бар.
Тармак өзгөргөндөн кийин төрт учурду кайра иштетиңиз, анткени машина башка тармакка кошулганда профиль кайра классификацияланышы мүмкүн. Дал келген профиль белгиси жол сиз көздөгөн жол болгонунун далили эмес.