Зөвхөн Windows галт хана VPN унтраалт болж чадах уу?
Интерфэйсийн төрлийн дүрэм физик адаптерыг блоклож чадна, гэвч гуравдагч талын туннель ихэвчлэн утастай мэт харагддаг. Ангилал, төгсгөлийн цэгийн маршрут, дараа нь DNS-ийг шалгана уу.
Windows галт хана дангаараа онцгой унтраалт болж чадах эсэхийг асуувал та итгэлтэй боловч хоорондоо нийцэхгүй хоёр хариулт авна. Нэг нь интерфэйсийн төрлийн дүрэм бүх ажлыг хийнэ гэж хэлдэг; нөгөө нь скриптгүйгээр ажиллахгүй гэдэг. Хоёулаа нэг механизмын хагасыг тодорхойлж байна. Галт хана блоклолтыг илэрхийлж чадна, харин үр дүн үнэхээр хаалттай байдлаар бүтэлгүйтэх эсэх нь гурван зүйлээс хамаарна: Windows туннелийн адаптерыг хэрхэн ангилдаг, төгсгөлийн цэгийн үл хамаарах зүйл хадгалагдах эсэх, нэрний шийдэл болон IPv6 хамрагдсан эсэх. Аль нэгэнд нь алдвал машин нэг бол мэдээлэл алдана, эсвэл бүх холболтоо алдана.
Гурван нөхцөл, энэ дарааллаар
Эхний нөхцөл нь ангилал бөгөөд хүссэн дүрэм ер нь илэрхийлэгдэх эсэхийг шийднэ. Windows галт хананы дүрмийг интерфэйсийн төрлөөр хязгаарлаж болно: утастай, утасгүй эсвэл алсын хандалт. Физик төрлүүд дээр гадагшлах урсгалыг блоклож, туннельд зөвшөөрөл өгөх бодлого нь Windows туннелийг алсын хандалт гэж хүлээн зөвшөөрсөн тохиолдолд л ажиллана.
Хоёр дахь нөхцөл нь төгсгөлийн цэгийн үл хамаарах зүйл. Ямар ч туннель үүсэхээс өмнө клиент физик адаптераар VPN серверт хүрэх ёстой, тиймээс тухайн адаптер дээрх бүрэн блоклолт нь блоклолтыг илүүдэл болгох холболтыг өөрөө саатуулна. Үл хамаарах зүйл сервер болон түүний портыг нэрлэх ёстой бөгөөд пакет нь өргөгдөөгүй туннель рүү биш, физик гарцаар гадагш гарах ёстой.
Гурав дахь нь хамрах хүрээ. IPv4-ийг блоклож IPv6-г мартсан, эсвэл төгсгөлийн цэгийг хайхын тулд орон нутгийн шийдэгчид зөвшөөрөл өгснөөр бусад бүх хайлтад зөвшөөрөл өгдөг дүрмийн багц нь унтраалт байх шалтгаан болсон яг тэр цонхонд нээлттэйгээр бүтэлгүйтдэг. Энэ нь дизайны цоорхой, галт хананы гэмтэл биш. Энэ нь ширээн дээрх бүх туршилтыг даван туулдаг цоорхой юм.
Ангилал бол эхний хаалга
Нэг ч дүрэм бичихээс өмнө Windows адаптеруудын талаар юу гэж боддогийг хараарай. Windows-ын төрөлх VPN холболт ихэвчлэн алсын хандалт хэлбэрээр харагддаг. Өөрийн виртуал адаптер үүсгэдэг гуравдагч талын клиент ихэвчлэн утастай хэлбэрээр харагддаг бөгөөд энэ нь утастай адаптерт хязгаарласан блоклолт туннелийг ч блоклодог гэсэн үг.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionГурав дахь команд нь өгөгдмөл гадагшлах блоклолт аль хэдийн хүчинтэй эсэхийг хэлдэг бөгөөд энэ нь дизайны бүх хэлбэрийг өөрчилдөг. Хэрэв өгөгдмөл нь аль хэдийн блоклолт бол та зөвшөөрөхүйц суурь руу үл хамаарах зүйл биш, зөвшөөрлийн дүрэм бичиж байна, энэ нь бодоход хамаагүй хялбар байрлал юм.
Хэрэв туннелийн адаптер утастай гэж мэдээлбэл, хаалттай бүтэлгүйтлийн дизайнд зөвхөн галт хана тохирох хэрэгсэл биш бөгөөд дүрмийг хэрхэн тааруулсан ч энэ өөрчлөгдөхгүй. Форум бүрийн сэдэв дэх хоёр дахь санал зөв байх тохиолдол энэ юм.
Төгсгөлийн цэгийн үл хамаарах зүйлд дүрмээс гадна маршрут хэрэгтэй
Ангилал ажилладаг гэж үзье. Үл хамаарах зүйл нь хоёр хэсгээс бүрдэх бөгөөд тэд өөр өөр дэд системд амьдардаг. Галт хананы дүрэм урсгалыг зөвшөөрдөг; хостны маршрут нь туннель доош байх үед түүнийг зөв интерфэйсээр гадагш гаргадаг.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32Маршрутгүйгээр үл хамаарах зүйл нь өгөгдмөл маршрут физик гарц руу зааж байх хугацаанд л тусална. Клиент өөрийн өгөгдмөл маршрутыг суулгаад дараа нь унасан үед зөвшөөрөгдсөн пакетуудад очих ухаалаг газар үлдэхгүй бөгөөд холболтыг дахин тогтоох боломжгүй. Тэр бүтэлгүйтэл эвдэрсэн клиент мэт харагдах боловч үнэндээ дутуу маршрут юм.
Үл хамаарах зүйлийг клиентийн зөвшөөрөх хэмжээнд нарийн байлгаарай. Нэг хаяг, нэг порт хянагдахуйц; үйлчилгээ үзүүлэгчийн бүх сүлжээг хамарсан хүрээ биш. Тэр өргөн дүрэм нь мөн адил үйлчилгээ үзүүлэгчид байрласан бусад бүх зүйлд зөвшөөрөл өгдөг бөгөөд энэ нь ихэвчлэн таны бодсоноос илүү байдаг.
DNS болон IPv6 бол түүний нээлттэйгээр бүтэлгүйтдэг газрууд
Нэрний шийдэл бол сонгодог алдагдал. Хэрэв төгсгөлийн цэг нь хостны нэр бол клиент туннель үүсэхээс өмнө түүнийг шийдэх ёстой, энэ нь физик адаптерт шийдэгчид хүрэх зөвшөөрөл өгөх шаардлагатай гэсэн үг. Тэр зөвшөөрөл нь туннель доош байх үед бусад бүх хайлтыг гадагш гаргадаг бөгөөд нэг хайлт л таны үзэх гэж байсан зүйлийг ил болгоход хангалттай.
IPv6 нь хоёр дахь. IPv4-д зориулж бичигдсэн дүрэм нөгөө гэр бүлийг хамрахгүй бөгөөд олон клиент зөвхөн IPv4 маршрут суулгадаг. Тиймээс өөрийн IPv6 холболттой машин IPv4 тал нь хатуу блоклогдсон байхад интернэттэй ярилгсаар байж чадна, унтраалт бүх хугацаанд амжилтыг мэдээлдэг.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
Гурав дахь мөрийг тойрч гарахын оронд ойлгох нь зүйтэй. Галт хана пакетуудын талаар шийддэг, аппликейшн ямар интерфэйс ашиглахыг хүссэн тухай биш, мөн тодорхой холбогддог программыг хянахад хэцүү байж болно. Энэ нь аппликейшны доор ажилладаг клиентийн талын унтраалтыг дэмжих үндэслэл бөгөөд илүү олон дүрмийг дэмжих биш.
Кабель татсанаар биш, клиентийг зогсоосноор туршина
Цорын ганц утга учиртай туршилт бол таны хамгаалж буй бүтэлгүйтлийг дуурайдаг туршилт юм. Үйлчилгээг зогсоож, процессыг алж, эсвэл клиентийн үүсгэсэн адаптерыг идэвхгүй болгоод интернэт болон нэрэд хүрэхийг оролдоорой:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443Гурвуулаа бүтэлгүйтэх ёстой. Эхнийх нь амжилттай бол блоклолт хүчинтэй биш; эхнийх нь бүтэлгүйтсэн газар хоёр дахь нь амжилттай бол танд DNS алдагдал байна; гурав дахь нь амжилттай бол IPv6 хамрагдаагүй. Үр дүн бүр дээрх цоорхойн яг нэг рүү заана.
Унтах, сэрэх дараа туршилтыг давтаарай, учир нь Windows сүлжээг нийтийн эсвэл хувийн гэж шийдэх үед галт хананы профайл өөрчлөгдөж болох бөгөөд профайлд хязгаарласан дүрэм түүнийг дагадаг. Ширээн дээр тэсч, галт тэрэгт бүтэлгүйтдэг дизайн бол нэг удаа туршсан дизайн юм.
Хэрэв ангиллын хаалга эсвэл DNS-ийн шаардлага зөвхөн-галт-хана аргыг хэрэглэх боломжгүй болговол, клиентийн талын унтраалт бол шударга хариулт. Хэрэв туннель оронд нь чиглүүлэгч дээр төгсвөл бодлого чиглүүлэгчид хамаарах ёстой, учир нь тэнд нэг дүрэм түүний ард байгаа бүх төхөөрөмжийг хамрах бөгөөд Windows адаптерыг хэрхэн нэрлэхээс хамаарахгүй.