Windows ഫയർവോൾ മാത്രം VPN കിൽ സ്വിച്ച് ആയി: നിലനിൽക്കുമോ?
ഇന്റർഫേസ് തരം അനുസരിച്ചുള്ള നിയമങ്ങൾക്ക് ഭൗതിക അഡാപ്റ്ററുകൾ തടയാം, പക്ഷേ മൂന്നാം കക്ഷി ടണൽ പലപ്പോഴും വയർ ഉള്ളതുപോലെ തോന്നുന്നു. വർഗ്ഗീകരണം, എൻഡ്പോയിന്റ് റൂട്ട്, പിന്നെ DNS പരിശോധിക്കുക.
Windows ഫയർവോൾ ഒറ്റയ്ക്ക് കിൽ സ്വിച്ച് ആയി പ്രവർത്തിക്കുമോ എന്ന് ചോദിച്ചാൽ രണ്ട് ആത്മവിശ്വാസമുള്ളതും പൊരുത്തപ്പെടാത്തതുമായ ഉത്തരങ്ങൾ ലഭിക്കും. ഒന്ന് പറയുന്നത് ഇന്റർഫേസ് തരം അനുസരിച്ചുള്ള നിയമം മുഴുവൻ ജോലിയും ചെയ്യുന്നു എന്നാണ്; മറ്റൊന്ന് സ്ക്രിപ്റ്റുകളില്ലാതെ അത് പ്രവർത്തിക്കില്ല എന്നും. രണ്ടും ഒരേ സംവിധാനത്തിന്റെ പകുതിയാണ് വിവരിക്കുന്നത്. ഫയർവോൾ തടയൽ പ്രകടിപ്പിക്കാം, ഫലം യഥാർത്ഥത്തിൽ അടച്ച രീതിയിൽ പരാജയപ്പെടുന്നുണ്ടോ എന്നത് മൂന്ന് കാര്യങ്ങളെ ആശ്രയിച്ചിരിക്കുന്നു: Windows ടണൽ അഡാപ്റ്ററിനെ എങ്ങനെ വർഗ്ഗീകരിക്കുന്നു, എൻഡ്പോയിന്റ് ഒഴിവാക്കൽ നിലനിൽക്കുന്നുണ്ടോ, കൂടാതെ നാമവിശ്ലേഷണവും IPv6 ഉം ഉൾപ്പെടുത്തിയിട്ടുണ്ടോ. ഇവയിൽ ഒന്ന് തെറ്റിയാൽ യന്ത്രം ഒന്നുകിൽ ചോരുകയോ അല്ലെങ്കിൽ എല്ലാ കണക്റ്റിവിറ്റിയും നഷ്ടപ്പെടുകയോ ചെയ്യും.
മൂന്ന് വ്യവസ്ഥകൾ, ഈ ക്രമത്തിൽ
ആദ്യ വ്യവസ്ഥ വർഗ്ഗീകരണമാണ്, നിങ്ങൾ ആഗ്രഹിക്കുന്ന നിയമം ഒട്ടും പ്രകടിപ്പിക്കാനാകുമോ എന്ന് അത് തീരുമാനിക്കുന്നു. Windows ഫയർവോൾ നിയമങ്ങൾ ഇന്റർഫേസ് തരം അനുസരിച്ച് പരിമിതപ്പെടുത്താം: വയർ ഉള്ളത്, വയർലെസ് അല്ലെങ്കിൽ വിദൂര ആക്സസ്. ഭൗതിക തരങ്ങളിൽ പുറത്തേക്കുള്ള ട്രാഫിക് തടഞ്ഞ് ടണലിന് അനുമതി നൽകുന്ന നയം Windows ടണലിനെ വിദൂര ആക്സസ് ആയി തിരിച്ചറിഞ്ഞാൽ മാത്രമേ പ്രവർത്തിക്കൂ.
രണ്ടാം വ്യവസ്ഥ എൻഡ്പോയിന്റ് ഒഴിവാക്കലാണ്. ഏതെങ്കിലും ടണൽ ഉണ്ടാകുന്നതിന് മുമ്പ്, ക്ലയന്റ് ഭൗതിക അഡാപ്റ്റർ വഴി VPN സർവറിലെത്തണം, അതിനാൽ ആ അഡാപ്റ്ററിലെ പൂർണ്ണ തടയൽ തടയൽ അനാവശ്യമാക്കുമായിരുന്ന കണക്ഷനെത്തന്നെ തടയുന്നു. ഒഴിവാക്കലിൽ സർവറും അതിന്റെ പോർട്ടും പേരിടണം, പാക്കറ്റ് ഇനിയും ഉയർന്നിട്ടില്ലാത്ത ടണലിലേക്കല്ല, ഭൗതിക ഗേറ്റ്വേ വഴി പുറത്തുപോകണം.
മൂന്നാമത്തേത് പരിധിയാണ്. IPv4 തടഞ്ഞ് IPv6 മറക്കുന്ന, അല്ലെങ്കിൽ എൻഡ്പോയിന്റ് തിരയലിന് പ്രാദേശിക റിസോൾവറിന് അനുമതി നൽകി അതുവഴി മറ്റെല്ലാ തിരയലുകൾക്കും അനുമതി നൽകുന്ന നിയമക്കൂട്ടം കിൽ സ്വിച്ച് ഉള്ളതിന്റെ കാരണമായ അതേ ജാലകത്തിൽത്തന്നെ തുറന്ന് പരാജയപ്പെടുന്നു. ഇത് രൂപകൽപ്പനയിലെ വിടവാണ്, ഫയർവോളിന്റെ തകരാറല്ല. മേശപ്പുറത്തെ എല്ലാ പരിശോധനയും അതിജീവിക്കുന്ന വിടവും ഇതുതന്നെ.
വർഗ്ഗീകരണമാണ് ആദ്യ കവാടം
ഒരു നിയമം പോലും എഴുതുന്നതിന് മുമ്പ് Windows അഡാപ്റ്ററുകളെക്കുറിച്ച് എന്ത് കരുതുന്നു എന്ന് നോക്കുക. Windows ന്റെ സ്വന്തം VPN കണക്ഷൻ സാധാരണയായി വിദൂര ആക്സസ് ആയി കാണപ്പെടുന്നു. സ്വന്തം വെർച്വൽ അഡാപ്റ്റർ സൃഷ്ടിക്കുന്ന മൂന്നാം കക്ഷി ക്ലയന്റ് പലപ്പോഴും വയർ ഉള്ളതായി കാണപ്പെടുന്നു, അതായത് വയർ ഉള്ള അഡാപ്റ്ററുകളിൽ പരിമിതപ്പെടുത്തിയ തടയൽ ടണലിനെയും തടയുന്നു.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionമൂന്നാം കമാൻഡ് സ്ഥിരസ്ഥിതി പുറത്തേക്കുള്ള തടയൽ ഇതിനകം പ്രാബല്യത്തിലുണ്ടോ എന്ന് പറയുന്നു, ഇത് രൂപകൽപ്പനയുടെ മുഴുവൻ രൂപവും മാറ്റുന്നു. സ്ഥിരസ്ഥിതി ഇതിനകം തടയലാണെങ്കിൽ, അനുവദനീയമായ അടിത്തറയ്ക്കുള്ള ഒഴിവാക്കലുകളല്ല, അനുമതി നിയമങ്ങളാണ് നിങ്ങൾ എഴുതുന്നത്, അതിനെക്കുറിച്ച് ചിന്തിക്കാൻ അത് വളരെ എളുപ്പമാണ്.
നിങ്ങളുടെ ടണൽ അഡാപ്റ്റർ വയർ ഉള്ളതായി റിപ്പോർട്ട് ചെയ്താൽ, അടച്ച പരാജയ രൂപകൽപ്പനയ്ക്ക് ഫയർവോൾ മാത്രം ശരിയായ ഉപകരണമല്ല, എത്ര നിയമം ക്രമീകരിച്ചാലും അത് മാറില്ല. ഓരോ ഫോറം ത്രെഡിലെയും രണ്ടാം അഭിപ്രായം ശരിയാകുന്ന സന്ദർഭം ഇതാണ്.
എൻഡ്പോയിന്റ് ഒഴിവാക്കലിന് നിയമത്തോടൊപ്പം റൂട്ടും വേണം
വർഗ്ഗീകരണം പ്രവർത്തിക്കുന്നു എന്ന് കരുതുക. ഒഴിവാക്കൽ രണ്ട് കഷണങ്ങളാണ്, അവ വ്യത്യസ്ത സബ്സിസ്റ്റങ്ങളിൽ കഴിയുന്നു. ഫയർവോൾ നിയമം ട്രാഫിക്കിന് അനുമതി നൽകുന്നു; ഹോസ്റ്റ് റൂട്ട് ടണൽ താഴെയിരിക്കുമ്പോൾ അതിനെ ശരിയായ ഇന്റർഫേസിലൂടെ പുറത്തുപോകാൻ അനുവദിക്കുന്നു.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32റൂട്ട് ഇല്ലാതെ, സ്ഥിരസ്ഥിതി റൂട്ട് ഇപ്പോഴും ഭൗതിക ഗേറ്റ്വേയിലേക്ക് ചൂണ്ടുന്നിടത്തോളം മാത്രമേ ഒഴിവാക്കൽ സഹായിക്കൂ. ക്ലയന്റ് സ്വന്തം സ്ഥിരസ്ഥിതി റൂട്ട് ഇൻസ്റ്റാൾ ചെയ്ത് പിന്നീട് മരിച്ചാൽ, അനുവദിച്ച പാക്കറ്റുകൾക്ക് യുക്തിസഹമായി പോകാൻ ഇടമില്ല, കണക്ഷൻ വീണ്ടും സ്ഥാപിക്കാനും കഴിയില്ല. ആ പരാജയം കേടായ ക്ലയന്റിനെപ്പോലെ തോന്നുമെങ്കിലും യഥാർത്ഥത്തിൽ കാണാതായ ഒരു റൂട്ടാണ്.
ക്ലയന്റ് അനുവദിക്കുന്നിടത്തോളം ഒഴിവാക്കൽ ഇടുങ്ങിയതാക്കി നിർത്തുക. ഒരു വിലാസവും ഒരു പോർട്ടും പരിശോധിക്കാവുന്നതാണ്; ദാതാവിന്റെ മുഴുവൻ നെറ്റ്വർക്കും ഉൾക്കൊള്ളുന്ന ശ്രേണി അല്ല. ആ വിശാല നിയമം അതേ ദാതാവിൽ ഹോസ്റ്റ് ചെയ്യുന്ന മറ്റെല്ലാം അനുവദിക്കുന്നു, അത് സാധാരണയായി നിങ്ങൾ ഉദ്ദേശിച്ചതിലും കൂടുതലാണ്.
DNS ഉം IPv6 ഉം ആണ് അത് തുറന്ന് പരാജയപ്പെടുന്ന സ്ഥലങ്ങൾ
നാമവിശ്ലേഷണമാണ് പരമ്പരാഗത ചോരൽ. എൻഡ്പോയിന്റ് ഒരു ഹോസ്റ്റ്നാമമാണെങ്കിൽ, ടണൽ ഉണ്ടാകുന്നതിന് മുമ്പ് ക്ലയന്റ് അത് പരിഹരിക്കണം, അതായത് ഭൗതിക അഡാപ്റ്ററിന് റിസോൾവറിലെത്താൻ അനുമതി നൽകണം. അതേ അനുമതി ടണൽ താഴെയിരിക്കുമ്പോൾ മറ്റെല്ലാ തിരയലുകളും പുറത്തുവിടുന്നു, ഒരു തിരയൽ മാത്രം നിങ്ങൾ സന്ദർശിക്കാൻ പോകുന്നത് വെളിപ്പെടുത്താൻ മതി.
IPv6 രണ്ടാമത്തേതാണ്. IPv4 നായി എഴുതിയ നിയമങ്ങൾ മറ്റേ കുടുംബത്തെ ഉൾക്കൊള്ളുന്നില്ല, പല ക്ലയന്റുകളും IPv4 റൂട്ടുകൾ മാത്രമേ ഇൻസ്റ്റാൾ ചെയ്യുന്നുള്ളൂ. അതിനാൽ സ്വന്തം IPv6 കണക്റ്റിവിറ്റിയുള്ള യന്ത്രത്തിന് IPv4 ഭാഗം ഉറപ്പായി തടഞ്ഞിരിക്കുമ്പോഴും ഇന്റർനെറ്റുമായി സംസാരിക്കാം, കിൽ സ്വിച്ച് മുഴുവൻ സമയവും വിജയം റിപ്പോർട്ട് ചെയ്യുന്നു.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
മൂന്നാം വരി ഒഴിവാക്കുന്നതിനുപകരം മനസ്സിലാക്കാൻ യോഗ്യമാണ്. ഫയർവോൾ പാക്കറ്റുകളെക്കുറിച്ച് തീരുമാനിക്കുന്നു, ഒരു ആപ്ലിക്കേഷൻ ഏത് ഇന്റർഫേസ് ഉപയോഗിക്കാൻ ആവശ്യപ്പെട്ടു എന്നതിനെക്കുറിച്ചല്ല, കൂടാതെ വ്യക്തമായി ബൈൻഡ് ചെയ്യുന്ന പ്രോഗ്രാം നിയന്ത്രിക്കാൻ ബുദ്ധിമുട്ടാകാം. ഇത് ആപ്ലിക്കേഷന് താഴെ പ്രവർത്തിക്കുന്ന ക്ലയന്റ്-സൈഡ് കിൽ സ്വിച്ചിന് അനുകൂലമായ വാദമാണ്, കൂടുതൽ നിയമങ്ങൾക്കല്ല.
കേബിൾ വലിച്ചൂരിയല്ല, ക്ലയന്റ് നിർത്തിയാണ് പരീക്ഷിക്കേണ്ടത്
അർത്ഥവത്തായ ഏക പരീക്ഷ നിങ്ങൾ സംരക്ഷിക്കുന്ന പരാജയം അനുകരിക്കുന്നതാണ്. സേവനം നിർത്തുക, പ്രോസസ്സ് കൊല്ലുക, അല്ലെങ്കിൽ ക്ലയന്റ് സൃഷ്ടിച്ച അഡാപ്റ്റർ നിഷ്ക്രിയമാക്കുക, എന്നിട്ട് ഇന്റർനെറ്റിലും ഒരു നാമത്തിലും എത്താൻ ശ്രമിക്കുക:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443മൂന്നും പരാജയപ്പെടണം. ആദ്യത്തേത് വിജയിച്ചാൽ തടയൽ പ്രാബല്യത്തിലില്ല; ആദ്യത്തേത് പരാജയപ്പെട്ടിടത്ത് രണ്ടാമത്തേത് വിജയിച്ചാൽ നിങ്ങൾക്ക് DNS ചോരലുണ്ട്; മൂന്നാമത്തേത് വിജയിച്ചാൽ IPv6 ഉൾപ്പെടുത്തിയിട്ടില്ല. ഓരോ ഫലവും മുകളിലെ വിടവുകളിൽ കൃത്യമായി ഒന്നിനെ ചൂണ്ടുന്നു.
ഉറക്കത്തിനും ഉണരലിനും ശേഷം പരീക്ഷ ആവർത്തിക്കുക, കാരണം Windows ഒരു നെറ്റ്വർക്ക് പൊതുവോ സ്വകാര്യമോ ആണെന്ന് തീരുമാനിക്കുമ്പോൾ ഫയർവോൾ പ്രൊഫൈൽ മാറാം, പ്രൊഫൈലിന് പരിമിതപ്പെടുത്തിയ നിയമങ്ങൾ അതിനെ പിന്തുടരുന്നു. മേശപ്പുറത്ത് നിൽക്കുന്നതും ട്രെയിനിൽ പരാജയപ്പെടുന്നതുമായ രൂപകൽപ്പന ഒരിക്കൽ പരീക്ഷിച്ച രൂപകൽപ്പനയാണ്.
വർഗ്ഗീകരണ കവാടമോ DNS ആവശ്യകതയോ ഫയർവോൾ-മാത്ര സമീപനത്തെ അപ്രായോഗികമാക്കിയാൽ, ക്ലയന്റ്-സൈഡ് കിൽ സ്വിച്ച് ആണ് സത്യസന്ധമായ ഉത്തരം. ടണൽ പകരം റൗട്ടറിൽ അവസാനിക്കുന്നെങ്കിൽ, നയം റൗട്ടറിന്റേതായിരിക്കണം, കാരണം അവിടെ ഒരു നിയമം അതിന് പിന്നിലെ ഓരോ ഉപകരണത്തെയും ഉൾക്കൊള്ളുന്നു, Windows അഡാപ്റ്ററിന് എന്ത് പേരിടുന്നു എന്നതിനെ ആശ്രയിക്കുന്നില്ല.