Nëmmen d'Windows-Firewall als VPN-Notausschalter: hält et?
Regelen nom Interface-Typ kënnen d'physesch Adapter blockéieren, awer en Drëttpersoun-Tunnel gesäit dacks wéi kabelgebonnen aus. Iwwerpréift d'Klassifikatioun, d'Route vum Endpunkt an dann DNS.
Frot, ob d'Windows-Firewall eleng als Notausschalter funktionéiere kann, an du kriis zwou selbstsécher an onveräinbar Äntwerten. Eng seet, d'Reegel nom Interface-Typ mécht déi ganz Aarbecht; déi aner seet, et gëtt net ouni Skripten. Béid beschreiwen d'Halschent vum selwechte Mechanismus. D'Firewall ka blockéieren ausdrécken, an ob d'Resultat wierklech zouene fehlschléit hänkt vun dräi Saachen of: wéi Windows den Tunneladapter klassifizéiert, ob d'Ausnam vum Endpunkt iwwerlieft, an ob Nummopléisung an IPv6 ofgedeckt sinn. Verfeels du eng dovun an d'Maschinn leeft aus oder verléiert all Verbindung.
Dräi Konditiounen, an dëser Reihenfolge
Déi éischt Konditioun ass d'Klassifikatioun, an si décidéiert, ob d'Reegel, déi s du wëlls, iwwerhaapt ausdréckbar ass. Windows-Firewallregele kënnen nom Interface-Typ ageschränkt ginn: kabelgebonnen, drahtlos oder Fernzougrëff. Eng Politik, déi erausgeet Verkéier op de physeschen Typpen blockéiert an den Tunnel erlaabt, funktionéiert nëmmen, wann Windows den Tunnel als Fernzougrëff erkennt.
Déi zweet Konditioun ass d'Ausnam vum Endpunkt. Ier en Tunnel existéiert, muss de Client de VPN-Server iwwer den physeschen Adapter erreechen, also verhënnert eng komplett Blockade op deem Adapter just déi Verbindung, déi d'Blockade iwwerflësseg géif maachen. D'Ausnam muss de Server an säi Port nennen, an de Paket muss iwwer de physesche Gateway erausgoen an net an en Tunnel, deen nach net steet.
Déi drëtt ass d'Ofdeckung. E Reegelset, deen IPv4 blockéiert an IPv6 vergësst, oder deen dem lokalen Opléiser d'Endpunkt-Sich erlaabt a sou all aner Sich erlaabt, fehlschléit oppen genee an deem Fënster, fir dat den Notausschalter existéiert. Dat ass eng Design-Läck, keen Fehler an der Firewall. Et ass och d'Läck, déi all Test op engem Schreifdësch iwwerlieft.
D'Klassifikatioun ass dat éischt Paart
Kuck, wat Windows vun den Adapteren hält, ier s du eng eenzeg Reegel schreifs. Eng ureeg Windows-VPN-Verbindung erschéngt normalerweis als Fernzougrëff. E Client vun engem Drëttpersoun, deen säin eegene virtuelle Adapter schaaft, erschéngt dacks als kabelgebonnen, wat heescht, datt eng Blockade, déi op kabelgebonnen Adapter limitéiert ass, och den Tunnel blockéiert.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionDéi drëtt Kommando seet dir, ob eng Standardblockade fir erausgeet Verkéier schonn a Kraaft ass, wat déi ganz Form vum Design ännert. Wann de Standard schonn blockade ass, schreifs du Erlaabnesregelen an net Ausnamen zu enger permissiver Basis, an dat ass eng vill méi einfach Haltung zum nodenken.
Wann däin Tunneladapter sech als kabelgebonnen mellt, ass d'Firewall eleng net dat richtegt Geschier fir en Design mat zouenem Fehlschlag, an et ännert sech duerch keng Reegeljustéierung. Dat ass de Fall, an deem déi zweet Meenung an all Forumfuedem richteg ass.
D'Ausnam vum Endpunkt brauch eng Route souwéi eng Reegel
Ugeholl, d'Klassifikatioun funktionéiert. D'Ausnam besteet aus zwee Stécker, an si liewen a verschiddenen Ënnersystemer. D'Firewallregeel erlaabt de Verkéier; d'Hostroute mécht, datt en duerch dat richtegt Interface erausgeet, während den Tunnel ënnen ass.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32Ouni d'Route hëlleft d'Ausnam nëmmen, soulaang eng Standardroute nach op de physesche Gateway weist. Soubal de Client seng eegen Standardroute installéiert an dann stierft, huet déi erlaabt Paketen néierens sënnvoll hinzegoen an d'Verbindung kann net erëm opgebaut ginn. Dee Fehlschlag gesäit wéi e kaputte Client aus a ass wierklech eng feelend Route.
Halt d'Ausnam esou schmuel wéi de Client et erlaabt. Eng Adress an ee Port si kontrolléierbar; e Beräich, deen dat ganzt Netz vum Ubieder deckt, net. Déi méi breet Reegel erlaabt och alles anescht, wat beim selwechten Ubieder gehost ass, an dat ass meeschtens méi wéi du geduecht hues.
DNS an IPv6 sinn d'Plazen, wou et oppen fehlschléit
Nummopléisung ass dee klasseschen Auslaf. Wann den Endpunkt en Hostnumm ass, muss de Client en opléisen, ier den Tunnel existéiert, wat heescht, datt dem physeschen Adapter erlaabt muss ginn, en Opléiser z'erreechen. Déi selwecht Erlaabnes léisst all aner Sich eraus, während den Tunnel ënnen ass, an eng eenzeg Sich duer, fir ze verroden, wat s du besiche wëlls.
IPv6 ass déi zweet. Reegelen, déi fir IPv4 geschriwwe goufen, decken déi aner Famill net of, a ville Cliente installéieren nëmme IPv4-Routen. Eng Maschinn mat ureeger IPv6-Konnektivitéit kann dofir weider mam Internet schwätzen, während d'IPv4-Säit fest blockéiert ass, an den Notausschalter mellt déi ganz Zäit Erfolleg.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
Déi drëtt Zeil ass wäert verstan ze ginn anstatt ëmgaangen. Eng Firewall entscheet iwwer Paketen, net doriwwer, wéi en Interface eng Applikatioun gefrot huet, an e Programm, dat sech explizit bënnt, ka schwéier ze kontrolléieren sinn. Dat ass en Argument fir en Notausschalter op der Clientsäit, deen ënner der Applikatioun schafft, an net fir méi Reegelen.
Test duerch de Client ze stoppen, net duerch de Kabel ze zéien
Den eenzegen sënnvolle Test ass deen, deen de Fehlschlag imitéiert, géint deen s du dech schütz. Stop den Service, ëmbréng de Prozess oder deaktivéier den Adapter, deen de Client gemaach huet, an dann versich, d'Internet an en Numm z'erreechen:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443All dräi sollten fehlschloen. Wann déi éischt geléngt, ass d'Blockade net a Kraaft; wann déi zweet do geléngt, wou déi éischt fehlgeschloen ass, hues du en DNS-Auslaf; wann déi drëtt geléngt, ass IPv6 net ofgedeckt. All Resultat weist op genee eng vun den Lächen uewen.
Widderhuel den Test no Schlof a Waakregkeet, well de Firewallprofil sech änniere kann, wann Windows décidéiert, datt en Netz ëffentlech oder privat ass, a profilsgebonnen Reegelen him follegen. En Design, deen um Schreifdësch hält an am Zuch fehlschléit, ass en Design, deen ee Mol getest gouf.
Wann d'Klassifikatiouns-Paart oder d'DNS-Fuerderung den nëmme-Firewall-Usaz onbrauchbar mécht, ass en Notausschalter op der Clientsäit déi éierlech Äntwert. Wann den Tunnel amplaz op engem Router ophält, soll d'Politik dem Router gehéieren, well eng Reegel do deckt all Apparat hannendrun of an hänkt net dovun of, wéi Windows en Adapter nennt.