Жалгыз Windows брандмауэри VPN өчүргүч катары: туруштук береби?
Интерфейс түрү боюнча эрежелер физикалык адаптерлерди бөгөттөй алат, бирок үчүнчү тараптын туннели көбүнчө зымдуу көрүнөт. Классификацияны, акыркы чекиттин маршрутун, анан DNS текшериңиз.
Windows брандмауэри жалгыз өзү өзгөчө кырдаал өчүргүчү катары иштей алабы деп сурасаңыз, эки ишенимдүү жана шайкеш келбеген жооп аласыз. Бири интерфейс түрүндөгү эреже бүт ишти аткарат дейт; экинчиси скрипттерсиз иштебейт дейт. Экөө тең бир эле механизмдин жарымын сүрөттөйт. Брандмауэр бөгөттөөнү билдире алат, ал эми натыйжа чындап жабык түрдө ишке ашпай калабы үч нерсеге байланыштуу: Windows туннель адаптерин кантип классификациялайт, акыркы чекиттин өзгөчөлүгү сакталабы жана ат чечүү менен IPv6 камтылганбы. Ошолордун биринде ката кетирсеңиз, машина же маалымат агызат, же бардык байланыштан ажырайт.
Үч шарт, ушул тартипте
Биринчи шарт — классификация, ал каалаган эреженин жалпы эле туюнтулушун чечет. Windows брандмауэр эрежелерин интерфейс түрү боюнча чектөөгө болот: зымдуу, зымсыз же алыскы кирүү. Физикалык түрлөрдө чыгуучу трафикти бөгөттөп, туннелге уруксат берген саясат Windows туннелди алыскы кирүү деп тааныганда гана иштейт.
Экинчи шарт — акыркы чекиттин өзгөчөлүгү. Туннель пайда болгонго чейин клиент VPN серверине физикалык адаптер аркылуу жетиши керек, ошондуктан ошол адаптердеги толук бөгөт бөгөттөөнү керексиз кыла турган байланыштын өзүн тосот. Өзгөчөлүк серверди жана анын портун аташы керек, ал эми пакет али көтөрүлө элек туннелге эмес, физикалык шлюз аркылуу чыгышы тийиш.
Үчүнчүсү — камтуу. IPv4-тү бөгөттөп, IPv6-ны унутуучу же акыркы чекитти издөө үчүн жергиликтүү чечүүчүгө уруксат берип, ошону менен ар кандай башка издөөгө да уруксат берүүчү эрежелер жыйындысы өчүргүч жашаган терезеде эле ачык түрдө ишке ашпай калат. Бул долбоордук кемчилик, брандмауэрдин бузулушу эмес. Бул ошондой эле стол үстүндөгү ар бир сыноодон аман өтүүчү кемчилик.
Классификация — биринчи дарбаза
Бир эреже жазганга чейин Windows адаптерлер тууралуу эмне деп ойлой турганын караңыз. Windows'тун өз VPN байланышы адатта алыскы кирүү катары көрүнөт. Өз виртуалдык адаптерин түзгөн үчүнчү тараптын клиенти көбүнчө зымдуу көрүнөт, башкача айтканда зымдуу адаптерлерге чектелген бөгөт туннелди да бөгөттөйт.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionҮчүнчү буйрук демейки чыгуучу бөгөт буга чейин күчүндөбү же жокпу айтат, бул долбоордун бүт формасын өзгөртөт. Эгер демейки бөгөт болсо, сиз уруксат берүүчү негизге өзгөчөлүктөрдү эмес, уруксат эрежелерин жазасыз, жана бул жөнүндө ой жүгүртүү алда канча жеңил.
Эгер туннель адаптериңиз зымдуу деп билдирсе, жабык ишке ашпоо долбоору үчүн жалгыз брандмауэр туура курал эмес, жана эрежелерди канча жөндөсөңүз да бул өзгөрбөйт. Бул ар бир форум темасындагы экинчи пикир туура болгон учур.
Акыркы чекиттин өзгөчөлүгүнө эреже менен катар маршрут да керек
Классификация иштейт деп коёлу. Өзгөчөлүк эки бөлүктөн турат, алар ар башка ички системаларда жашайт. Брандмауэр эрежеси трафикке уруксат берет; хосттун маршруту туннель ылдый турганда аны туура интерфейстен чыгарат.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32Маршрутсуз өзгөчөлүк демейки маршрут дагы физикалык шлюзду көрсөтүп турганда гана жардам берет. Клиент өзүнүн демейки маршрутун орнотуп, анан өчүп калса, уруксат берилген пакеттердин бара турган акылга сыярлык жери калбайт жана байланышты кайра орнотуу мүмкүн эмес. Бул ишке ашпоо бузулган клиентке окшошот, чындыгында жок маршрут.
Өзгөчөлүктү клиент уруксат бергенче тар кармаңыз. Бир дарек жана бир порт текшериле алат; провайдердин бүт желесин камтыган диапазон — жок. Ошол кененирээк эреже ошол эле провайдерде жайгашкан калган нерселердин баарына уруксат берет, бул адатта ойлогонуңуздан көп.
DNS жана IPv6 — ал ачык түрдө ишке ашпай калган жерлер
Ат чечүү — классикалык агыш. Эгер акыркы чекит хост аты болсо, клиент аны туннель пайда болгонго чейин чечиши керек, башкача айтканда физикалык адаптерге чечүүчүгө жетүүгө уруксат берилиши керек. Ошол эле уруксат туннель ылдый турганда ар кандай башка издөөнү сыртка чыгарат, ал эми бир издөө эмнени көрө турганыңызды ачыкка чыгарууга жетиштүү.
IPv6 — экинчиси. IPv4 үчүн жазылган эрежелер экинчи үй-бүлөнү камтый албайт, ал эми көп клиенттер IPv4 маршруттарын гана орнотушат. Ошондуктан өз IPv6 байланышы бар машина IPv4 тарабы бекем бөгөттөлгөн абалда интернет менен сүйлөшүүнү уланта алат, ал эми өчүргүч бүт убакыт бою ийгилик тууралуу билдирет.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
Үчүнчү сапты айланып өтпөй, түшүнгөн жөн. Брандмауэр пакеттер жөнүндө чечим кабыл алат, колдонмо кайсы интерфейсти сураганы жөнүндө эмес, жана ачык байланышкан программаны кармоо кыйын болушу мүмкүн. Бул колдонмонун астында иштеген кардар тараптагы өчүргүчтүн пайдасына далил, көбүрөөк эреженин эмес.
Кабелди тартуу менен эмес, клиентти токтотуу менен сынаңыз
Жалгыз маанилүү сыноо — өзүңүз коргогон ишке ашпоону туураган сыноо. Кызматты токтотуңуз, процессти өлтүрүңүз же клиент жараткан адаптерди өчүрүңүз, анан интернетке жана атка жетүүгө аракет кылыңыз:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443Үчөө тең ишке ашпашы керек. Эгер биринчиси ийгиликтүү болсо, бөгөт күчүндө эмес; экинчиси биринчиси ишке ашпаган жерде ийгиликтүү болсо, сизде DNS агымы бар; үчүнчүсү ийгиликтүү болсо, IPv6 камтылган эмес. Ар бир натыйжа жогорудагы кемчиликтердин так бирине көрсөтөт.
Уйку жана ойгонуудан кийин сыноону кайталаңыз, анткени Windows тармакты коомдук же жеке деп чечкенде брандмауэр профили өзгөрүшү мүмкүн, ал эми профилге чектелген эрежелер ага ээрчийт. Стол үстүндө карманып, поездде ишке ашпаган долбоор — бир жолу сыналган долбоор.
Эгер классификация дарбазасы же DNS талабы жалгыз-брандмауэр ыкмасын колдонууга жараксыз кылса, кардар тараптагы өчүргүч — чынчыл жооп. Эгер туннель анын ордуна маршрутизатордо бүтсө, саясат маршрутизаторго таандык болушу керек, анткени ал жердеги бир эреже анын артындагы ар бир түзмөнү камтыйт жана Windows адаптерди кантип атай турганына көз каранды эмес.