Ping зөвхөн нэг чиглэлд ажилладаг: Windows яагаад серверийн цуурайг хаядаг вэ

Таны клиент сервер рүү ping илгээдэг, сервер клиент рүү ping илгээж чаддаггүй, гэхдээ туннель тэр хоёр мэдэгдэлд пакетыг тодорхой зөөж байна. Ялгаа нь замд биш, тест бүрийн эхний пакетэд байна: нэг нь Windows аль хэдийн хянаж буй урсгалд өгөх хариу, нөгөө нь нэг ч дүрэм зөвшөөрөөгүй шинэ ирж буй хүсэлт юм. Энэ ялгаа нь нэг чиглэлийн ping-ийн ихэнх тайланг тайлбарлаж, таны бичих ёстой дүрэм рүү шууд заана. Эсрэг чиглэлийн хоёр тест тохиолдлуудыг нэг минут орчимд тусгаарладаг.

Хоёр чиглэл, хоёр өөр шийдвэр

Клиент цуурайн хүсэлтийг илгээхэд Windows-ийн галт хана зөвшөөрөхөөр шийдсэн гарч буй холболтыг хардаг. Хариу тэр аль хэдийн тогтсон урсгалын дотор эргэж ирдэг тул төлөвийг дагадаг механизм ICMP-д зориулсан ямар ч ирж буй дүрмийг асуулгүйгээр түүнийг нэвтрүүлдэг. Практикт төлөвт суурилсан шүүлт гэдэг нь энэ бөгөөд хэн ч бичээгүй дүрэм энд оролцохгүй. Иймээс клиентийн амжилт ирж буй бодлогын талаар юу ч хэлэхгүй.

Сервер хүсэлтийг эхлээд илгээхэд ямар ч төлөв түүнтэй таарахгүй. Windows пакетыг шинэ ирж буй холболт гэж үзэж, ирж буй бодлогоос асуудаг бөгөөд тэр нь анхдагчаар дурын эх сурвалжаас ирэх цуурайн хүсэлтийг огт тооцдоггүй.

Тиймээс клиентийн амжилт гарч буй ICMP болон буцах зам ажиллаж байгааг баталсан. Тэр ирж буй шийдвэрийг хэзээ ч шалгаагүй бөгөөд галт хана хэвийн гэсэн байгалийн дүгнэлт үндэслэлтэй боловч буруу. Тиймээс энэ алдаа нотолгоо аль хэдийн агуулагдсан тикетүүдэд давтагддаг.

Пакет алга болтол дагаарай

Ямар нэгэн зүйл өөрчлөхөөс өмнө хаягуудыг баталгаажуулаарай: клиент үнэхээр эзэмшиж буй туннелийн хаягийг ашиглаж, сервер клиентийн ард байгаа LAN хаяг руу биш, яг түүн рүү чиглүүлж байгаа эсэхийг шалгаарай. Хоёр алдаа серверийн командын мөрөөс ижил харагдана, учир нь хоёулаа хугацаа дуусахад хүрдэг. Пакет хаана үхдэг нь юу өөрчлөхийг шийддэг цорын ганц баримт.

Хэрэв хүсэлт туннелийн интерфэйсэд хүрч, гадагш юу ч гарахгүй бол орон нутгийн галт хана магадлалтай шалтгаан. Хэрэв тэр интерфэйсэд хэзээ ч хүрэхгүй бол хариу нь дээр байна: сервер дээрх маршрут, гарч буй бодлого эсвэл VPN-ийн өөрийнх нь тэгш эрхтнүүдийн хоорондын хүргэлт.

Сервер ping илгээж байх үед клиентийн туннелийн интерфэйс дээр бичлэг хийгээрэй. Хүсэлт хажууд нь хариугүй ирж байгааг харах нь Windows дүрэм бичихийг зөвтгөдөг нотолгоо юм. Юу ч харагдахгүй бол энэ нь таныг дээш илгээнэ, тэр төлөвт нэмсэн дүрэм хэзээ ч ирээгүй пакетын хувьд машиныг илүү зөвшөөрөмжтэй болгох л юм. Аль ч тохиолдолд бичлэг нь түүнийг орлох таамаглалаас бага өртөгтэй.

ICMP-г нээхийн оронд нэг дүрмийг хязгаарлаарай

Ямар нэгэн зүйл бичихээс өмнө адаптер болон түүний одоогийн ангиллыг тодорхойлоорой, учир нь хоёулаа таны тохируулах гэж буй хүрээнд гарч ирнэ. Тэр псевдоним нь Windows интерфэйсийн нэр бөгөөд энэ нь таны импортолсон VPN профайлын нэр байх албагүй. Доорх командууд юу байгааг жагсааж, дараа нь хэрэглэхгүйгээр хязгаарлагдсан дүрмийн урьдчилан харахыг үзүүлнэ.

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 8-р төрөл бол цуурайн хүсэлт бөгөөд сервер хариу авах шаардлагатай цорын ганц мессеж юм. Түүнийг серверийн туннелийн хаяг болон туннелийн интерфэйсээр хязгаарлаж, профайлыг адаптер үнэхээр байгаагаар нь үлдээгээрэй. Сүлжээг жишээнд тохируулахын тулд нэрийг өөрчлөх нь өөрийн үр дагавартай тусдаа өөрчлөлт юм.

Дүрэм юуг хамардаггүй вэ

IPv6-ийн цуурай нь өөр мессежийн төрөлтэй өөр протокол тул ICMPv4 дүрэм түүний талаар юу ч хэлэхгүй бөгөөд хоёр гэр бүлийг зөөдөг туннель нөгөөд нь өөрийн дүрэм хэрэгтэй. Энэ дүрэм өөр юу ч нээхгүй: RDP, файл хуваалцах болон бусад бүх үйлчилгээ өөрийн бодлогодоо хараат хэвээр. Өргөн ICMP зөвшөөрөл асаахын оронд нэг нарийн дүрмийг хязгаарлах бүх утга нь энэ юм. Өргөн зөвшөөрөл бол хялбар шийдэл бөгөөд хамгийн удаан үлддэг, учир нь дараа нь хэн ч анзаардаггүй.

Удирдлагатай төхөөрөмж дээр дүрэм дараагийн бодлогын шинэчлэлтээр солигдож болох тул адилтгах өөрчлөлтийг орон нутгийн администратор биш, бодлогын эзэмшигч хийх ёстой. Зорилгыг командын хамт тикетэд бичээрэй, учир нь шинэчлэлт команддыг устгаж, шаардлагыг хэвээр үлдээнэ. Хоёулаа нэг артефакт биш бөгөөд тэдгээрийн зөвхөн нэг нь амьд үлддэг.

Үр дүнг зөв чиглэлд уншаарай

Дүрэм хүчин төгөлдөр болсны дараа серверээс ping илгээж, хариу клиентэд хүрч байгааг баталгаажуул, дараа нь хасагдсан хэвээр байх ёстой эх сурвалжаас ping илгээж, хүрэхгүй байгааг баталгаажуулаарай. Хэрэв туннель нөгөө хаягийн гэр бүлийг зөөдөг бол хүртээмжийн тестийг тэр талд давтаарай.

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

Хүчин төгөлдөр болсон дүрмийг хэвлэх нь түүнийг үүсгэсэн командад итгэхээс илүү ашигтай, учир нь урьдчилан харах ба хэрэглэсэн дүрэм нь өөр өөр төлөв юм. Хэрэв хаягийн шүүлтүүр таны зорьсон эх сурвалжийг харуулж, хасагдсан эх сурвалж хугацаа дуусахад хүрсээр байвал дүрэм өөрийн хүрээний хэлснийг яг хийдэг. Клиентээс эхэлсэн амжилттай ping үүнийг хэзээ ч харуулахгүй байсан тул тест бүрийн чиглэл үр дүнгийнх нь хажууд бүртгэлд байх ёстой. Тикетэд хоёр чиглэлийг хоёуланг нь хадгалаарай, эс бөгөөс дараагийн уншигч бүтэлгүйтэж чадахгүй тестийг давтах болно.