Firwat eng Firewall-Paart op VPN-Zoustand net eng Ping-Regel nëmmen duerch den Tunnel ass

Stellt Iech eng Firewall-Regel vir, déi ICMP-Echo fir d'ëffentlech Adress vum Server aschalt, all Kéier wann en ernannte VPN-Profil verbonnen ass. Et liest sech wéi „Ping nëmmen duerch den Tunnel“, an déi Lieseart ass falsch op eng Manéier, déi zielt. D'Regel beschränkt net, wien den Host erreeche kann; si ännert, wat déi ëffentlech Interface äntwert, wärend eng aner Verbindung zoufälleg aktiv ass. Dat sinn zwou verschidde Politiken, an eng dovun erweidert d'Expositioun roueg.

D'Regel, déi Dir mengt geschriwwen ze hunn

D'Ufuerderung ass normalerweis enk: d'Iwwerwaachungssystem, oder den eenzegen Administrateur um VPN, soll bestätege kënnen, datt de Server lieft. Als Saz geschriwwen, kléngt et wéi Zougangskontroll um Tunnel. Als Firewall-Objekt geschriwwen, gëtt et eng Bedingung um ëffentleche Profil, well do kënnt d'Echo-Ufro un.

Soubal d'Bedingung en Zoustand vun der Verbindung ass an net eng Quelladress, ass de Set vun den erlaabten Ofsender net méi de Set vun de VPN-Peers. Jiddereen, deen d'ëffentlech Adress erreecht, kann eng Echo-Ufro schécken, soulaang d'Paart op ass. Den Tunnel gouf net de Wee; den Tunnel gouf de Schalter.

D'Leit, déi dës Iddi vermaarken, lugen normalerweis net iwwer den Effekt, deen se wollten. Si brauchen eng Kontroll, déi nëmmen äntwert, wann de Link gesond ass, an d'Gesondheet vum Link war am einfachsten iwwer de VPN ze observéieren. De Feeler ass, en Disponibilitéitssignal als Zougangsentscheedung ze behandelen an et duerno ze automatiséieren.

Wat d'Paart tatsächlech kontrolléiert

Dësen Design verschmëlzt zwou onofhängeg Saachen, an hir Trennung ass de gréissten Deel vun der Korrektur. Déi éischt ass den Ëmfang: wéi eng lokal Adress, wéi eng entfernt Adressen, wéi ee Protokoll a wéi een ICMP-Typ. Déi zweet ass d'Bedingung: ob d'Regelobjekt an dësem Ament aktivéiert ass. Den Ëmfang ass dat, wat eng Firewall pro Pak bewäert; d'Bedingung ass dat, wat e Skript an de Politikspäicher schreift, an déi zwee ginn op komplett verschidden Aueren ofgestëmmt.

Wann d'Ufuerderung wierklech nëmmen VPN-Peers ass, äntwert den Ëmfang drop ouni eng Logik vum Verbindungszoustand: bind d'Regel un d'Tunnel-Interface oder un den Tunneladressberäich, beschränk déi entfernt Adressen op de Clientspool, a spezifizéier den Echo-Typ amplaz „ICMP“. Déi Regel bleift richteg, wann keen VPN aktiv ass, a kann net vun engem onverbonnene Profil opgemaach ginn.

Wann d'Ufuerderung wierklech eng ëffentlech Paart ass, da sot et am Text vun der Politik, well d'Akzeptanzkritäre sech änneren. Eng ëffentlech Paart muss de geneeë Profil nennen, definéieren, wat „verbonnen“ heescht, an erklären, datt ëffentlech Ofsender vum Design hir am Ëmfang sinn. De gréissten Deel vun der Duercherneen verschwënnt an deem Ament, wou een gezwongen ass, dee Saz opzeschreiwen.

Baut d'Objekt eng Kéier, dann schalt et

Stellt eng eenzeg Regel mat enger stabiler Identitéit vir, deaktivéiert, a loosst de Controller nëmmen hire Aktivéierungszoustand änneren. Regelen no dem ugewise Numm bei all Laf ze kreéieren ass de Wee, wéi e Politikspäicher mat fënnef bal identeschen Objeten an ouni zouverlässeg Manéier se ze läschen ophält.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Den Numm ass den dauerhaften Identifiant; den ugewise Numm ass Dokumentatioun, déi e Mënsch ka beaarbechten. Stëmmt op -Name of, an d'Skript produzéiert keng Duplikater méi. Déiselwecht Kommandoform deckt de Fall IPv6 mat -Protocol ICMPv6 -IcmpType 128, awer dat ass eng separat Regel, well d'Echo-Typnummeren tëschent den zwou Familljen ënnerscheede.

Halt d'Adressfamill an den ICMP-Typ aus engem zweeten Grond explizit: -Protocol ICMPv4 ouni Typ erlaabt all ICMPv4-Noriicht, déi de Profil zouloosst, och déi, déi Dir ni wollt acceptéieren. Den Typ 8 ze nennen enkelt d'Regel op d'Echo-Ufro an, a just dat schéckt eng Kontroll vun der Erreechbarkeet.

Wou d'Automatiséierung dem Intentioun entgéintgeet

E Client-Profil all puer Minutten ze froen, kann keng direkt Grenz produzéieren. Tëschent dem Ofbroch vun der Verbindung an der nächster Frot äntwert d'Regel nach op der ëffentlecher Adress; tëschent dem Opbau vun der Verbindung an der nächster Frot äntwert se net. Dës Verspéidung zouzeginn ass éierlech, a behaapten, den Design erzwinngt en strikt Invariant, ass et net.

An der Zoustandskontroll selwer steet eng Ëmfangsfall. Get-VpnConnection mellt Client-Profiler, déi op der Maschinn konfiguréiert sinn, standardméisseg fir dee momentanen Benotzer a fir all Benotzer mat -AllUserConnection. Et mellt net déi entfernt Benotzer, déi just elo bei engem RRAS-Server ageschriwwe sinn; dat ass eng aner Observatioun mat engem anere Kommando. Eng Paart, déi op dee falsche gebaut ass, ass mat näischt verbonnen.

Dann deckt d'Zoustänn of, déi keen a Skript setzt: Start mat enger Regel, déi schonn aus engem fréieren Laf aktivéiert ass, den Zesummebroch vum Controller, während d'Paart op ass, an e geläschte Profil, während seng Regel lieweg bleift. All eenzele brauch en definéierte Standard, an dee séchere Standard fir eng ëffentlech Erlaabnes ass deaktivéiert. Wann d'Ufuerderung d'Frotfenster wierklech net verdroe kann, ass eng zoustandgebonne Regel dat falscht Instrument, an d'Duerchsetzung gehéiert zum Tunnel, net zur ëffentlecher Interface.

Zum Schluss test d'ëffentlech Ufro zweemol, eng Kéier mat der gewielter Verbindung un an eng Kéier mat hir aus, vun engem Host, deen net um VPN ass. En erfollegräiche Ping vun bannen aus dem Tunnel beweiseet näischt iwwer dës Politik, an dat ass d'Moossnam, déi déi meeschte Wierkstellungen iwwersprangen.