Эмне үчүн VPN абалына байланган firewall дарбазасы туннелден гана ping жүргүзүү эрежеси эмес

Аталган VPN профили туташкан сайын сервердин коомдук дареги үчүн ICMP echo'ну күйгүзгөн firewall эрежесин элестетиңиз. Ал «туннел аркылуу гана ping» деп окулат, жана бул окуу маанилүү түрдө туура эмес. Эреже ким хостко жете аларын чектебейт; ал башка туташуу кокустан активдүү болуп турганда коомдук интерфейс эмнеге жооп берерин өзгөртөт. Булар эки башка саясат, жана алардын бири таасирди тынч кеңейтет.

Сиз жаздым деп ойлогон эреже

Көздөлгөн талап адатта тар: мониторинг системасы же VPN'деги жалгыз администратор сервердин тирүү экенин ырастай алышы керек. Сүйлөм катары жазылса, ал туннелдеги кирүүнү көзөмөлдөөгө окшошот. Firewall объектиси катары жазылса, ал коомдук профилдеги шартка айланат, анткени echo суроосу дал ошол жерге келет.

Шарт баштапкы дарек эмес, туташуу абалы болгондон кийин, уруксат берилген жөнөтүүчүлөрдүн жыйындысы эми VPN өнөктөштөрүнүн жыйындысы эмес. Коомдук дарекке жете алган ар ким дарбаза ачык турганда echo суроосун жөнөтө алат. Туннел жол болгон жок; туннел ажыраткыч болду.

Бул идеяны жайылткандар адатта каалаган таасири тууралуу калп айтышпайт. Аларга байланыш соо болгондо гана жооп берген текшерүү керек болчу, ал эми байланыштын соолугун VPN аркылуу байкоо эң жеңил эле. Ката — жеткиликтүүлүк сигналын кирүү чечими катары кабыл алып, анан аны автоматташтыруу.

Дарбаза чындыгында эмнени башкарат

Бул дизайн эки көз карандысыз нерсени бириктирет, жана аларды бөлүү оңдоонун басымдуу бөлүгү. Биринчиси — камтуу: кайсы жергиликтүү дарек, кайсы алыскы даректер, кайсы протокол жана кайсы ICMP түрү. Экинчиси — шарт: эреже объектиси азыр күйгүзүлгөнбү. Камтууну firewall ар бир пакет боюнча баалайт; шартты script саясат кампасына жазат, жана экөө такыр башка сааттар менен шайкештештирилет.

Эгер талап чындыгында гана VPN өнөктөштөрү болсо, камтуу ага туташуу абалынын эч кандай логикасыз жооп берет: эрежени туннел интерфейсине же туннел дарек диапазонуна байлап, алыскы даректерди кардарлар пулу менен чектеп, «ICMP» ордуна echo түрүн көрсөтүңүз. Бул эреже эч бир VPN күйгүзүлбөгөндө да туура бойдон калат жана байланышы жок профиль аны ача албайт.

Эгер талап чындыгында коомдук дарбаза болсо, муну саясаттын текстинде айтыңыз, анткени кабыл алуу критерийлери өзгөрөт. Коомдук дарбаза так профилди аташы, «туташкан» дегендин эмне экенин аныкташы жана коомдук жөнөтүүчүлөр дизайн боюнча камтууда экенин жарыялашы керек. Чоң бүдөмүктүн көбү бирөө ошол сүйлөмдү жазууга аргасыз болгон учурда жоголот.

Объектини бир жолу куруп, анан которуңуз

Туруктуу идентификатору бар бир эрежени алдын ала, өчүк абалда даярдаңыз жана контроллер анын күйгүзүлүү абалын гана өзгөртсүн. Ар бир иштетүүдө көрсөтүлүүчү ат боюнча эреже түзүү — саясат кампасынын беш дээрлик бирдей объект менен жана аларды жок кылуунун ишенимдүү жолу жок бойдон калышынын жолу.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Ат — туруктуу идентификатор; көрсөтүлүүчү ат — адам оңдой алган документ. -Name боюнча шайкештештириңиз, script көчүрмөлөрдү жасоону токтотот. Ошол эле буйрук формасы IPv6 учурун -Protocol ICMPv6 -IcmpType 128 менен камтыйт, бирок бул өзүнчө эреже, анткени echo түрүнүн сандары эки үй-бүлөнүн ортосунда айырмаланат.

Дарек үй-бүлөсүн жана ICMP түрүн ачык кармаңыз, экинчи себеби да бар: -Protocol ICMPv4 түрсүз профиль уруксат берген ар бир ICMPv4 билдирүүсүнө жол берет, анын ичинде эч качан кабыл алууну ойлобогондоруңуз да бар. 8 түрүн атоо эрежени echo суроосуна тарылтат, жана жеткиликтүүлүктү текшерүү ушуну гана жөнөтөт.

Автоматташтыруу ниетке кайда каршы келет

Кардар профилин бир нече мүнөт сайын суроо заматта чек ара бере албайт. Байланыш үзүлгөндөн кийинки суроого чейин эреже коомдук даректе жооп берүүнү улантат; байланыш көтөрүлгөндөн кийинки суроого чейин жооп бербейт. Бул кечигүүнү моюнга алуу чынчыл, ал эми дизайн катуу инвариантты талап кылат деп ырастоо чынчыл эмес.

Абалды текшерүүнүн өзүндө камтуу тузагы бар. Get-VpnConnection машинада конфигурацияланган кардар профилдерин билдирет, демейде азыркы колдонуучу үчүн жана -AllUserConnection менен бардык колдонуучулар үчүн. Ал азыр RRAS серверине туташкан алыскы колдонуучуларды билдирбейт; бул башка буйрук менен жасалган башка байкоо. Туура эмес нерсеге курулган дарбаза эч нерсеге туташкан эмес.

Анан эч ким script жазбаган абалдарды жабыңыз: мурунку иштетүүдөн эреже мурунтан күйгүзүлүп калган абалда баштоо, дарбаза ачык турганда контроллердин кулашы жана профиль өчүрүлсө да анын эрежеси тирүү калышы. Ар бирине аныкталган демейки керек, ал эми коомдук уруксат үчүн коопсуз демейки — өчүрүү. Эгер талап суроо терезесин чындыгында көтөрө албаса, абалга байланган эреже — туура эмес курал, жана аткаруу туннелге тиешелүү, коомдук интерфейске эмес.

Акырында, коомдук суроону эки жолу сынаңыз: бир жолу тандалган байланыш күйгүзүлгөн, бир жолу өчүрүлгөн абалда, VPN'де жок хосттон. Туннелдин ичинен ийгиликтүү ping бул саясат жөнүндө эч нерсени далилдебейт, жана көптөгөн жайгаштыруулар дал ушул өлчөөнү өткөрүп жиберет.