Firewall профайл ба VPN гарц: яагаад нийтийн зам биш юм
Firewall профайл аль дүрмийн багц хүчинтэйг сонгоно. Энэ нь пакетыг аль интерфейс зөөсөн тухай юу ч хэлэхгүй бөгөөд ил блоклолт нарийн зөвшөөрлөөс давамгайлна.
Дүрэм нарийн сонсогдож байна: хувийн профайлд локал трафикийг, нийтийн профайлд зөвхөн VPN трафикийг зөвшөөр. Гэвч тийм биш, учир нь сүлжээний профайл аль firewall дүрмийн багц хүчинтэйг сонгож, пакетыг аль адаптер зөөсөн тухай юу ч хэлэхгүй. Профайлын нэрийг замын шаардлага гэж үзэх нь хязгаарлагдмал гарцын төслийг дуусаагүй байхад дууссан мэт харагдуулдаг алдаа юм.
Эхлээд урсгалуудыг бичиж аваад, дараа нь аль механизм тус бүрийг үнэхээр хэрэгжүүлж чадахыг шийдээрэй. Тэр урсгалын жагсаалт л дараагийн дүрмийн өөрчлөлтийг даван туулах цорын ганц артефакт.
Ангилал дүрмийг сонгодог, маршрутыг биш
Windows сүлжээг нийтийн эсвэл хувийн гэж ангилахад firewall тухайн профайлд тохируулсан дүрмийн багцыг хэрэглэнэ. Ангилал нь адаптер холбогдсон сүлжээг дагадаг, дүрмийн багц нь түүн дээр юу зөвшөөрөгдөхийг шийддэг. Эдгээр баримтын аль нь ч программын трафик туннель ашигласан эсэхээс хамаарахгүй. Яг энэ бие даасан байдал нь бүх бэрхшээл юм.
Замын сонголтыг маршрутлалт хийдэг, интерфэйсийн метрик болон туннелийн суулгадаг префиксээр. Тиймээс профайл нийтийн гэж тэмдэглэгдсэн байхад программын холболт физик замаар явж болно, firewall нь нийтийн дүрмийн багц хэрэглэгдсэн гэж мэдээлсээр байх болно.
Тиймээс профайлаар хязгаарлагдсан дүрэм зөвхөн туннель гэсэн утгагүй. Эдгээр хоёр шинж чанарыг өөр өөр бүрэлдэхүүн хэсэг шийддэг бөгөөд нэг нь нөгөөг орлож чадахгүй.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
Ил блоклолт нарийн зөвшөөрлөөс давамгайлна
Microsoft-ийн firewall дүрмийн удирдамж нь өгөгдмөл блоклох үйлдэлд олгох зөвшөөрлийн үл хамаарах зүйл болон зөвшөөрөлтэй зөрчилдөх ил блоклолтыг ялгадаг. Ил блоклолтууд тэр зөрчилд ялдаг бөгөөд гарцын дүрмүүд мөн адил давуу эрхийг дагана.
Тиймээс бүгдийг блоклох дүрэм нэмээд түүний дээр тавьсан нарийн зөвшөөрөлд найдах алдартай жор зохиогчийн хүлээж буй зүйлийг хийдэггүй. Windows Firewall зөрчлийг администраторын томилсон дүрмийн дарааллаар шийддэггүй. Блоклолт зүгээр л хэрэгжиж, холбогдож буй програм хугацаа хэтэрсэн гэж мэдээлнэ. Үл хамаарах зүйл мэт харагдаж байсан дүрэм хэзээ ч тоглоонд ороогүй.
Дэмжигдсэн хэлбэр нь батлагдсан зөвшөөрлийн дүрмүүд бүхий өгөгдмөл татгалзах бодлого бөгөөд тэнд зөвшөөрөл бүр програм, үйлчилгээ эсвэл очих газрыг хянахад хангалттай нарийвчлан нэрлэдэг. Ийм загвар аудитыг даван туулдаг, учир нь үл хамаарах зүйл бүр харагдана, тэдгээрийн аль нь ч үүссэн дарааллаас хамаарахгүй.
Бие биетэйгээ зөрчилдөх хоёр дүрэм нэг дүрмээс дор, учир нь үр дүнгийн зан төлөв нэгэн зэрэг зөв бөгөөд тайлбарлашгүй байдаг.
Гарцын бодлогод нэг эзэн өг
Дэмжигдсэн VPN клиент аль хэдийн өөрийн блоклох зан төлөв, өөрийн төгсгөлийн цэгийн үл хамаарах зүйлсийг хадгалдаг. Зохицуулалтгүй гараар хийсэн дүрэм нэмэх нь тэр клиентийг тохируулахад шаардлагатай туннелиас гадуур үлдээх, эсвэл хэн ч анзаараагүй хоёр дахь замыг онгорхой үлдээх магадлалтай.
Дүрэм бичихээс өмнө гарцын бодлого хэнд хамаарахыг шийдээрэй: клиентийн өөрийн тохиргоо, удирдлагатай firewall бодлого, эсвэл эзэнтэй баримтжуулсан локал үл хамаарах зүйлсийн жагсаалт. Дараа нь ямар нэгэн зүйл холбогдох хүртэл туршилтуудыг давхарлахын оронд давхаргуудыг зохицуул. Нэрлэсэн эзэн бол хоёр давхарга санал нийлэхгүй үед асуух хүн ч мөн.
Ямар нэг зүйлийг өөрчлөхөөс өмнө сэргээх суваг хадгал. Өөрийн удирдлагын замаас гадуур түгжигдсэн алсын машин хааж байсан бодлогын цоорхойноос ч дор үр дүн. Сэргээх дүрмийг урьдчилан бичсэн бол зөвтгөхөд хялбар, өөрчлөлт хэнд ч таалагдахгүй цагт буруу болбол олоход ч хялбар.
Шошгыг уншихын оронд дөрвөн үр дүнг турш
Бодлого нь ялгаж чадах тохиолдлынхоо хэмжээгээр л сайн, тиймээс профайлын шошгыг үр дүн биш эхлэлийн цэг гэж үзээрэй. Дөрвөн үр дүн ажиллаж байгаа эсэхийг хэлнэ: зорьсон LAN хүсэлт амжилттай болно, хамрагдсан интернэт хүсэлт амжилттай болно, хориглосон шууд хүсэлт бүтэлгүйтнэ, туннелийн доголдлын тохиолдол чимээгүй ухрахын оронд зохион байгуулсан ёсоор ажиллана. Дөрвөн үр дүнг дүрмийн өөрчлөлтийн хажууд бич. Дөрвөн нэрлэсэн тохиолдол бүхий туршилтын төлөвлөгөөг тухай бүр ажиллуулахад хангалттай богино, чанга бүтэлгүйтэхэд хангалттай тодорхой.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
Эхний команд нь холбогдсон сүлжээ бүр хэрхэн ангилагдсаныг харуулна, энэ нь ихэвчлэн дүрэм бичсэн хүний таамагласан зүйл биш. Хоёр дахь нь профайл бүрийн өгөгдмөл үйлдлийг, гурав дахь нь идэвхжсэн гарцын блоклолтуудыг жагсаана, нарийн зөвшөөрлийг чимээгүй хүчингүй болгох тэдгээрийг оролцуулан.
Сүлжээ өөрчлөгдсөний дараа дөрвөн тохиолдлыг дахин ажиллуул, учир нь машин өөр сүлжээнд холбогдоход профайл дахин ангилагдаж болно. Тохирох профайлын шошго нь зам таны зорьсон зам байсан гэдгийн баталгаа биш.