VPN төлөвт холбогдсон галт хананы хаалга яагаад зөвхөн туннелээр ping хийх дүрэм биш вэ

Нэрлэсэн VPN профайл холбогдох бүрт серверийн нийтийн хаягт ICMP echo-г асаадаг галт хананы дүрмийг төсөөлөөрэй. Үүнийг «зөвхөн туннелээр ping» гэж уншдаг бөгөөд тэр унших нь чухал байдлаар буруу юм. Дүрэм хэн хост руу хүрч болохыг хязгаарлахгүй; өөр холболт санамсаргүй идэвхтэй байх үед нийтийн интерфэйс юунд хариулдагийг өөрчилдөг. Эдгээр нь хоёр өөр бодлого бөгөөд нэг нь өртөлтийг чимээгүй өргөжүүлдэг.

Та бичсэн гэж бодож буй дүрэм

Зорьсон шаардлага ихэвчлэн нарийн: хяналтын систем эсвэл VPN дээрх цорын ганц администратор сервер амьд гэдгийг баталж чадах ёстой. Өгүүлбэр болгон бичихэд туннел дээрх хандалтын хяналт мэт сонсогдоно. Галт хананы объект болгон бичихэд нийтийн профайл дээрх нөхцөл болдог, учир нь echo хүсэлт яг тэнд ирдэг.

Нөхцөл нь эх хаяг биш холболтын төлөв болмогц зөвшөөрөгдсөн илгээгчдийн олонлог VPN түншүүдийн олонлог байхаа болино. Нийтийн хаяг руу хүрч чадах хэн бүхэн хаалга нээлттэй байх үед echo хүсэлт илгээж болно. Туннел зам болсонгүй; туннел унтраалга болсон.

Энэ санааг сурталчилж буй хүмүүс ихэвчлэн хүссэн үр нөлөөнийхөө талаар худал хэлдэггүй. Тэдэнд холболт эрүүл үед л хариулдаг шалгалт хэрэгтэй байсан бөгөөд холболтын эрүүл байдлыг VPN-ээр ажиглах нь хамгийн хялбар байв. Алдаа нь боломжит байдлын дохиог хандалтын шийдвэр гэж үзээд дараа нь автоматжуулах явдал юм.

Хаалга бодитоор юуг удирддаг вэ

Энэ загвар нь хоёр бие даасан зүйлийг нэгтгэдэг бөгөөд тэдгээрийг салгах нь засварын ихэнх хэсэг юм. Эхнийх нь хамрах хүрээ: аль локал хаяг, аль алслагдсан хаяг, аль протокол, аль ICMP төрөл. Хоёр дахь нь нөхцөл: дүрмийн объект энэ мөчид идэвхжсэн эсэх. Хамрах хүрээг галт хана пакет бүрээр үнэлдэг; нөхцөлийг скрипт бодлогын санд бичдэг бөгөөд хоёрыг огт өөр цагаар зохицуулдаг.

Хэрэв шаардлага үнэхээр зөвхөн VPN түншүүд бол хамрах хүрээ нь холболтын төлөвийн ямар ч логикгүйгээр хариулна: дүрмийг туннелийн интерфэйс эсвэл туннелийн хаягийн хүрээнд холбож, алслагдсан хаягуудыг клиентүүдийн сангаар хязгаарлаж, «ICMP»-ийн оронд echo төрлийг зааж өгнө. Тэр дүрэм ямар ч VPN асаалттай бус үед ч зөв хэвээр байх бөгөөд хамааралгүй профайл үүнийг нээж чадахгүй.

Хэрэв шаардлага үнэхээр нийтийн хаалга бол хүлээн авах шалгуур өөрчлөгддөг тул үүнийг бодлогын текстэд хэлээрэй. Нийтийн хаалга нь яг профайлыг нэрлэж, «холбогдсон» гэдгийн утгыг тодорхойлж, нийтийн илгээгчид загварын дагуу хамрах хүрээнд байгааг мэдэгдэх ёстой. Хэн нэгэн тэр өгүүлбэрийг бичихээр албадуулах мөчид ихэнх төөрөгдөл арилдаг.

Объектийг нэг удаа бариад дараа нь сэлгэ

Тогтвортой таних тэмдэгтэй нэг дүрмийг урьдчилан, идэвхгүй байдлаар бэлдэж, хянагч зөвхөн түүний идэвхтэй төлөвийг өөрчилдөг байг. Ажиллуулах бүрт дэлгэцийн нэрээр дүрэм үүсгэх нь бодлогын сан таван бараг ижил объекттой, тэдгээрийг устгах найдвартай аргагүй үлдэх зам юм.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Нэр нь байнгын танигч; дэлгэцийн нэр нь хүн засварлаж болох баримт бичиг юм. -Name-ээр зохицуулбал скрипт хуулбар үүсгэхээ болино. Ижил тушаалын хэлбэр нь IPv6 тохиолдлыг -Protocol ICMPv6 -IcmpType 128-оор хамардаг боловч echo төрлийн дугаарууд хоёр гэр бүлд өөр байдаг тул энэ нь тусдаа дүрэм юм.

Хаягийн гэр бүл болон ICMP төрлийг тодорхой байлгах хоёр дахь шалтгаан байна: -Protocol ICMPv4 төрөлгүй бол профайлын зөвшөөрсөн бүх ICMPv4 мессежийг зөвшөөрдөг, хэзээ ч хүлээж авахаар төлөвлөөгүйг ч оруулаад. 8-р төрлийг нэрлэх нь дүрмийг echo хүсэлтэд нарийсгадаг бөгөөд хүрэх боломжийн шалгалт зөвхөн үүнийг илгээдэг.

Автоматжуулалт зорилготой зөрчилдөх газар

Хэдэн минут тутамд клиент профайлыг асуух нь агшин зуурын хил үүсгэж чадахгүй. Холболт тасрах ба дараагийн асуултын хооронд дүрэм нийтийн хаяг дээр хариулсаар байна; холболт босох ба дараагийн асуултын хооронд хариулахгүй. Тэр хоцролтыг хүлээн зөвшөөрөх нь шударга, харин загвар хатуу инвариантыг шаарддаг гэж мэдэгдэх нь шударга бус юм.

Төлөвийн шалгалтын өөрт нь хамрах хүрээний урхи бий. Get-VpnConnection машин дээр тохируулсан клиент профайлуудыг мэдээлдэг, анхдагчаар одоогийн хэрэглэгчид, -AllUserConnection-тэй бол бүх хэрэглэгчид. Одоо RRAS серверт dial-in хийж буй алслагдсан хэрэглэгчдийг мэдээлдэггүй; тэр нь өөр командтай өөр ажиглалт. Буруу зүйл дээр барьсан хаалга юутай ч холбогдоогүй байна.

Дараа нь хэн ч скрипт хийдэггүй төлөвүүдийг хамар: өмнөх ажиллагаанаас дүрэм аль хэдийн идэвхтэй байхад эхлэх, хаалга нээлттэй байхад хянагч нураах, дүрэм нь амьд байхад профайл устгах. Тус бүрд тодорхойлсон анхдагч хэрэгтэй бөгөөд нийтийн зөвшөөрлийн аюулгүй анхдагч нь идэвхгүй юм. Шаардлага асуултын цонхыг үнэхээр тэвчихгүй бол төлөвт холбогдсон дүрэм нь буруу хэрэгсэл бөгөөд хэрэгжилт нь туннелд хамаарах бөгөөд нийтийн интерфэйст биш.

Эцэст нь нийтийн хүсэлтийг хоёр удаа туршаарай: нэг удаа сонгосон холболт асаалттай, нэг удаа унтраалттай үед, VPN-д байхгүй хостээс. Туннелийн дотроос амжилттай ping нь энэ бодлогын талаар юу ч нотолдоггүй бөгөөд энэ нь ихэнх байршуулалтын алгасдаг хэмжүүр юм.