Firewallprofiler géint VPN-Ausgang: firwat ëffentlech kee Wee ass
E Firewallprofil wielt, wéi ee Reegelsatz gëllt. En seet näischt doriwwer, wéi eng Interface de Pak gedroen huet, an eng explizit Blockéierung schléit eng méi schmuel Erlaabnis.
D'Reegel kléngt prezis: lokal Traffic am private Profil erlabe an nëmmen VPN-Traffic am ëffentlechen. Dat ass se net, well en Netzwierkprofil wielt, wéi ee Firewallreegelsatz gëllt, an näischt doriwwer seet, wéi en Adapter de Pak gedroen huet. Den Numm vum Profil als Wee-Fuerderung ze behandelen ass de Feeler, deen eng Approche mat ageschränktem Ausgang fäerdeg ausgesinn léisst, wann se et net ass.
Schreift fir d'éischt d'Flëss op, decidéiert dann, wéi ee Mechanismus jiddwereen dovun tatsächlech duerchsetze kann. Déi Flosslëscht ass dat eenzegt Artefakt, dat déi nächst Reegeleännerung iwwerlieft.
D'Kategorie wielt Reegelen, net Weeër
Wann Windows en Netzwierk als ëffentlech oder privat klasséiert, applizéiert d'Firewall de Reegelsatz, deen fir dee Profil konfiguréiert ass. D'Klassifikatioun suivelt de Netzwierk, un deen den Adapter sech ugeschloss huet, an de Reegelsatz entscheet, wat dorobber erlaabt ass. Keent vun dëse Fakten hänkt dovun of, ob den Traffic vun enger Applikatioun den Tunnel benotzt huet. Genee déi Onofhängegkeet ass déi ganz Schwieregkeet.
D'Wiel vum Wee mécht d'Routage, iwwer d'Interfacemetrik an de Prefix, deen den Tunnel installéiert. E Profil kann dofir als ëffentlech markéiert sinn, während d'Verbindung vun enger Applikatioun de physesche Wee hëlt, an d'Firewall wäert nach ëmmer mellen, datt den ëffentleche Reegelsatz applizéiert gouf.
Dofir kann eng Reegel, déi op de Profil begrenzt ass, net nëmmen Tunnel heeschen. Déi zwou Eegenschafte ginn duerch verschidde Komponenten entscheet an déi eng kann déi aner net ersetzen.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
Eng explizit Blockéierung schléit eng méi schmuel Erlaabnis
D'Microsoft-Richtlinnen zu Firewallreegele ënnerscheeden tëschent enger Erlaabnis als Ausnam vun enger Standardblockéierungsaktioun an enger expliziter Blockéierung, déi mat enger Erlaabnis a Konflikt steet. Explizit Blockéierungen gewannen dee Konflikt, an d'Ausgangsreegele befollegen déiselwecht Prioritéit.
Also de populäre Rezept, eng Reegel derbäizesetzen, déi alles blockéiert, a sech op eng méi schmuel Erlaabnis driwwer ze verloossen, mécht net dat, wat säin Auteur erwaart. Windows Firewall léist de Konflikt net iwwer d'Reegeluerdnung, déi den Administrator verginn huet. D'Blockéierung gëllt einfach, an d'Applikatioun, déi sech verbënnt, mellt eng Zäitiwwerschreidung. D'Reegel, déi wéi d'Ausnam ausgesinn huet, war ni am Spill.
Déi ënnerstëtzt Form ass eng Standardoflehnungspolitik mat approuvéierten Erlaabnisreegelen, wou all Erlaabnis e Programm, engem Service oder en Zil prezis genuch nennt, fir kënnen iwwerpréift ze ginn. Dee Konzept iwwerlieft en Audit, well all Ausnam sichtbar ass an keng dovun vun der Uerdnung ofhängt, an där se geschaf gouf.
Zwou Reegelen, déi sech widerspriechen, si méi schlëmm wéi eng Reegel, well d'Resultatverhalen gläichzäiteg richteg an onerklärbar ass.
Gitt der Ausgangspolitik een eenzege Besëtzer
En ënnerstëtzte VPN-Client ënnerhält schonn säin eegent Blockéierungsverhalen a seng eege Endpunkt-Ausnamen. Onkoordinéiert manuell Reegelen derbäizesetzen kann dee Client baussen dem Tunnel loosse stoen, deen en fir d'Arichtung brauch, oder en zweete Wee oppe loossen, deen keen opgefall ass.
Entscheet, wiem d'Ausgangspolitik gehéiert, ier Dir Reegelen schreift: der eegener Konfiguratioun vum Client, enger verwaltener Firewallpolitik oder enger dokumentéierter lokaler Ausnamlëscht mat engem Besëtzer. Da versöhnt d'Schichten, amplaz Experimenter ze stapelen, bis eppes sech verbënnt. En namentleche Besëtzer ass och deen, deen ee freet, wann zwou Schichte sech net eens sinn.
Bewahrt en Erhuelungskanal, ier Dir eppes ännert. Eng Distanzmaschinn, déi aus hirem eegene Verwaltungswee ausgespaart ass, ass en nach méi schlechte Resultat wéi d'Politiklach, déi Dir zoumaacht. D'Erhuelungsreegel ass méi einfach ze rechtfertegen, wann se am Viraus opgeschriwwe gëtt, an méi einfach ze fannen, wann eng Ännerung zu enger Stonn schiefgeet, déi keen genéisst.
Test véier Resultater, amplaz d'Etikett ze liesen
Eng Politik ass just esou gutt wéi d'Fäll, déi se ënnerscheet, dofir behandelt d'Profilletikett als Ausgangspunkt an net als Resultat. Véier Resultater soen Iech, ob se funktionéiert: déi beabsichtegt LAN-Ufro geléngt, eng ofgedeckt Internetufro geléngt, eng verbuede direkt Ufro schléit feel, an de Fall vum Tunnelfeeler verhält sech wéi entworf, amplaz sech roueg zeréckzezéien. Schreift déi véier Resultater nieft d'Reegeleännerung. En Testplang mat véier genannten Fäll ass kuerz genuch, fir all Kéier ze lafen, a spezifesch genuch, fir haart ze feelen.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
Den éischten Uerder weist, wéi all verbonnen Netzwierk klasséiert ass, wat dacks net dat ass, wat d'Persoun, déi d'Reegel geschriwwen huet, ugeholl huet. Den zweeten weist d'Standardaktioun pro Profil, an den drëtten zielt déi aktiv Ausgangsblockéierungen op, dorënner déi, déi eng méi schmuel Erlaabnis roueg iwwerschreiwen.
Fuert déi véier Fäll no enger Netzwierkännerung nach eng Kéier duerch, well e Profil ka reklasséiert ginn, wann d'Maschinn sech un en anert Netzwierk uschléisst. En iwwereneestëmmend Profilletikett ass keng Beweis, datt de Wee dee war, deen Dir gemengt hat.