Ping funktionéiert nëmmen an eng Richtung: firwat Windows d'Echo vum Server fale léisst

Äre Client pingt de Server, de Server kann de Client net pingen, an den Tunnel transportéiert an deenen zwee Aussoen offensichtlech Paketen. Wat sech ënnerscheet ass net de Wee, mä den éischte Pak vun all Test: deen een ass eng Äntwert op eng Stréimung, déi Windows schonn suivéiert, deen aneren eng nei agehend Ufro, déi keng Regel erlaabt huet. Dee Ënnerscheed erkläert déi meescht Rapporte vum eege Richtung Ping a weist direkt op d'Regel, déi Dir musst schreiwen. Zwee Tester an entgéintgesaten Richtungen trennen d'Fäll an ongeféier enger Minutt.

Zwou Richtungen, zwou verschidden Entscheedungen

Wann de Client d'Echo-Ufro schéckt, gesäit d'Windows-Firewall eng erausgehend Verbindung, déi se decidéiert huet z'erlaben. D'Äntwert kënnt bannen an dëser etabléierter Stréimung zréck, dofir léisst de Motor, deen den Zoustand suivéiert, se duerch, ouni eng agehend Regel fir ICMP ze froen. Dat bedeit Stateful Filtering an der Praxis, an d'Regel, déi keen geschriwwen huet, ass net bedeelegt. Den Erfolleg vum Client seet also näischt iwwer d'agehend Politik.

Wann de Server d'Ufro fir d'éischt schéckt, passt keen Zoustand drop. Windows behandelt de Pak als nei agehend Verbindung a freet d'agehend Politik, déi par défaut näischt fir Echo-Ufroe vu wëllekëllegen Quellen virgesäit.

Den Erfolleg vum Client huet also bewisen, datt erausgehend ICMP an de Réckwee funktionéieren. En huet d'agehend Entscheedung ni gepréift, an de naturel Schluss, datt d'Firewall an der Rei ass, ass vernünfteg a falsch. Dofir widderhëlt sech de Feeler an Ticketen, déi de Beweis schonn enthalen.

Verfollegt de Pak, bis en verschwënnt

Bestätegt d'Adressen, ier Dir eppes ännert: benotzt d'Tunneladress, déi de Client wierklech huet, a kontrolléiert, datt de Server dohinner routet an net op eng LAN-Adress hannert dem Client. Déi zwee Feeler gesinn identesch aus vum Server senger Kommandozeil, well béid an engem Timeout ophalen. Wou de Pak stierft, ass déi eenzeg Tatsaach, déi entscheet, wat ze änneren.

Wann d'Ufro d'Tunnel-Interface erreecht an näischt erauskënnt, ass déi lokal Firewall de warscheinleche Grond. Wann se d'Interface ni erreecht, ass d'Äntwert uewen: eng Route um Server, eng erausgehend Politik oder dem VPN seng eege Liwwerung tëscht Peers.

Huelt um Tunnel-Interface vum Client of, während de Server pingt. D'Ufro kommen ze gesinn ouni Äntwert dernieft ass de Beweis, deen et justifiéiert, eng Windows-Regel ze schreiwen. Näischt ze gesinn schéckt Iech uewen, an eng Regel, déi an deem Zoustand bäigefüügt gëtt, mécht d'Maschinn just méi tolerant fir e Pak, deen ni ukomm ass. Op jiddwer Fall kascht d'Opzeechnung manner wéi d'Vermutungen, déi se ersetzt.

Begrenzt eng Regel amplaz ICMP opzemaachen

Identifizéiert den Adapter an seng aktuell Kategorie, ier Dir eppes schreift, well béid am Beräich erschéngen, deen Dir grad setzt. Dee Pseudonym ass den Numm vum Windows-Interface, deen net onbedéngt den Numm vum VPN-Profil ass, deen Dir importéiert hutt. D'Kommandos hei drënner zielen op, wat et gëtt, a weisen dann eng begrenzt Regel als Virschau, ouni se unzewennen.

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 Typ 8 ass d'Echo-Ufro, déi eenzeg Noriicht, op déi de Server eng Äntwert brauch. Begrenzt se op d'Tunneladress vum Server an op den Tunnel-Interface, a loosst de Profil esou wéi den Adapter wierklech ass. En Netz ëmbenennen, fir datt et zu engem Beispill passt, ass eng separat Ännerung mat hiren eegene Konsequenzen.

Wat d'Regel net deckt

IPv6-Echo ass en anere Protokoll mat engem aneren Noriichtentyp, dofir seet eng ICMPv4-Regel näischt doriwwer, an en Tunnel, deen zwou Familljen dréit, brauch seng eegen Regel fir déi aner. Dës Regel mécht och soss näischt op: RDP, Dateideelen an all aneren Déngscht hänken nach ëmmer vun hirer eegener Politik of. Dat ass de ganzen Zweck, eng schmuel Regel ze begrenzen amplaz eng breet ICMP-Erlaabnis ze aktivéieren. Déi breet Erlaabnis ass déi einfach Léisung an déi, déi am längsten iwwerlieft, well et duerno keen opfällt.

Op engem verwalteten Apparat kann d'Regel beim nächsten Politik-Refresh ersat ginn, dofir muss den Eegentümer vun der Politik déi gläichwäerteg Ännerung maachen an net en lokalen Administrateur. Schreift d'Absicht an den Ticket nieft dem Kommando, well en Refresh d'Kommando läscht an d'Ufuerderung onberéiert léisst. Béid sinn net datselwecht Artefakt, a just ee vun hinnen iwwerlieft.

Liest d'Resultat an der richteger Richtung

Nodeems d'Regel gëlt, pingt vum Server a bestätegt, datt eng Äntwert de Client erreecht, pingt dann vun enger Quell, déi nach ëmmer ausgeschloss soll bleiwen, a bestätegt, datt se net erreecht. Widderhëlt den Erreechbarkeetstest op der anerer Adressfamill, wann den Tunnel eng dréit.

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

D'Regel ze drécken, déi a Kraaft getratt ass, ass nëtzlecher wéi dem Kommando ze vertrauen, deen se erstallt huet, well eng Virschau an eng ugewannte Regel zwee verschidde Zouständ sinn. Wann den Adressfilter d'Quell weist, déi Dir gemengt hutt, an d'ausgeschloss Quell nach ëmmer an en Timeout leeft, mécht d'Regel genee dat, wat säi Beräich seet. En erfollegräiche Ping vum Client hätt dat ni bewisen, an dofir gehéiert d'Richtung vun all Test an de Rekord nieft sengem Resultat. Halt béid Richtungen am Ticket, soss widderhëlt den nächsten Lieser den Test, deen net ka fehlschloen.