Ping бир багытта гана иштейт: Windows сервердин жаңырыгын эмнеге таштайт

Кардардын ping'i ийгиликтүү, анткени брандмауэр жоопту уруксат кылды, сурамды эмес. Жаңырыкты карама-каршы багытта көзөмөлдөп, бир эрежени туннелге чектеңиз.

Кардарыңыз серверге ping жиберет, сервер кардарга ping жибере албайт, ал эми туннел ошол эки билдирүүдө тең пакеттерди ачык ташып жатат. Айырма жолдо эмес, ар бир сыноонун биринчи пакетинде: бири Windows мурун эле көзөмөлдөп жаткан агымга берилген жооп, экинчиси эч бир эреже уруксат бербеген жаңы кирүүчү сурам. Ошол айырма бир багыттуу ping тууралуу отчёттордун көбүн түшүндүрөт жана жазышыңыз керек болгон эрежеге түз көрсөтөт. Карама-каршы багыттагы эки сыноо учурларды болжол менен бир мүнөттө ажыратат.

Эки багыт, эки башка чечим

Кардар жаңырык сурамын жибергенде, Windows брандмауэри уруксат берүүнү чечкен чыгуучу байланышты көрөт. Жооп ошол орнотулган агымдын ичинде кайтат, ошондуктан абалды көзөмөлдөгөн механизм ICMP үчүн эч бир кирүүчү эрежени сурабастан аны кабыл алат. Иш жүзүндө абалга негизделген фильтрлөө ушуну билдирет, ал эми эч ким жазбаган эреже буга катышпайт. Демек, кардардын ийгилиги кирүүчү саясат тууралуу эч нерсе айтпайт.

Сервер сурамды биринчи жиберсе, ага эч бир абал дал келбейт. Windows пакетти жаңы кирүүчү байланыш катары карап, кирүүчү саясаттан сурайт, ал эч кандай булактардан келген жаңырык сурамдарын демейде эске албайт.

Демек, кардардын ийгилиги чыгуучу ICMP менен кайтуу жолу иштешин далилдеди. Ал кирүүчү чечимди эч качан сынаган эмес, ал эми брандмауэр жайында деген табигый тыянак акылга сыярлык жана туура эмес. Ошондуктан бул ката далил мурун эле бар билеттерде кайталанат.

Пакет жок болгонго чейин көзөмөлдөңүз

Бир нерсени өзгөртүүдөн мурун даректерди ырастаңыз: кардар чындап ээ болгон туннел дарегин колдонуңуз жана сервер кардардын артындагы LAN дарегине эмес, ошого маршруттайарын текшериңиз. Эки ийгиликсиздик сервердин буйрук сабынан бирдей көрүнөт, анткени экөө тең убакыт бүтүү менен аяктайт. Пакет кайда өлөт — эмнени өзгөртүү керектигин чечкен жалгыз факт.

Эгер сурам туннел интерфейсине жетип, сыртка эч нерсе чыкпаса, жергиликтүү брандмауэр ыктымал себеп. Эгер ал интерфейске эч качан жетпесе, жооп жогору жагында: сервердеги маршрут, чыгуучу саясат же VPN'дин өзүнүн теңдештерине жеткирүү.

Сервер ping жиберип жатканда кардардын туннел интерфейсинде жазып алыңыз. Сурамдын жанында жоопсуз келгенин көрүү — Windows эрежесин жазууга негиз берүүчү далил. Эч нерсе көрбөө сизди жогору жакка жиберет, ал эми ошол абалда кошулган эреже эч качан келбеген пакет үчүн машинаны жөн гана кеңири жол коюучу кылат. Эки учурда тең жазуу анын ордун баскан божомолдон арзан.

ICMP ачуунун ордуна бир эрежени чектеңиз

Бир нерсе жазганга чейин адаптерди жана анын учурдагы категориясын аныктаңыз, анткени экөө тең сиз орното турган чөйрөдө көрүнөт. Ошол псевдоним Windows интерфейсинин аты, ал сиз импорттогон VPN профилинин аты болушу шарт эмес. Төмөнкү буйруктар эмне бар экенин тизмелеп, анан колдонбой эле чектелген эреженин алдын ала көрүнүшүн көрсөтөт.

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 8-тиби — жаңырык сурамы, сервер жооп алышы керек болгон жалгыз билдирүү. Аны сервердин туннел дареги менен туннел интерфейсине чектеңиз, жана профилди адаптер чындап кандай болсо, ошондой калтырыңыз. Жеңишти мисалга ылайыкташтыруу үчүн кайра атоо — өзүнүн кесепеттери бар өзүнчө өзгөртүү.

Эреже эмнени камтыбайт

IPv6 жаңырыгы — башка билдирүү тиби бар башка протокол, ошондуктан ICMPv4 эрежеси ал тууралуу эч нерсе айтпайт, ал эми эки үй-бүлөнү тең ташыган туннелге экинчиси үчүн өз эрежеси керек. Бул эреже башка эч нерсени да ачпайт: RDP, файл бөлүшүү жана калган бардык кызматтар өз саясатына көз каранды бойдон калат. Кенен ICMP уруксатын күйгүзүүнүн ордуна бир тар эрежени чектөөнүн бүт мааниси ушунда. Кенен уруксат — оңой чечим жана эң узак жашаган чечим, анткени кийин аны эч ким байкабайт.

Башкарылуучу түзмөктө эреже кийинки саясат жаңыртуусунда алмаштырылышы мүмкүн, ошондуктан эквиваленттүү өзгөртүүнү жергиликтүү администратор эмес, саясаттын ээси жасоосу керек. Ниетти буйрук менен катар билетке жазыңыз, анткени жаңыртуу буйрукту өчүрүп, талапты өзгөртпөй калтырат. Экөө бир артефакт эмес, жана алардын бири гана аман калат.

Жыйынтыкты туура багытта окуңуз

Эреже күчүнө киргенден кийин серверден ping жиберип, жооптун кардарга жетерин ырастаңыз, анан дагы чыгарылышы керек болгон булактан ping жиберип, жетпей турганын ырастаңыз. Эгер туннел экинчи дарек үй-бүлөсүн ташыса, жеткиликтүүлүк сыноосун ошол жакта кайталаңыз.

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

Күчүнө кирген эрежени басып чыгаруу аны түзгөн буйрукка ишенүүдөн пайдалуу, анткени алдын ала көрүнүш менен колдонулган эреже эки башка абал. Эгер дарек фильтри көздөгөн булагыңызды көрсөтүп, четтетилген булак дагы эле убакыт бүтүү менен бүтсө, эреже өзүнүн чөйрөсү айтканды так аткарат. Кардардан башталган ийгиликтүү ping муну эч качан көрсөтмөк эмес, ошондуктан ар бир сыноонун багыты жыйынтыгынын жанындагы жазууга таандык. Билетте эки багытты тең сактаңыз, болбосо кийинки окурман ийгиликсиз боло албаган сыноону кайталайт.

Тектеш макалалар