फायरवॉल प्रोफाइल्स विरुद्ध VPN इग्रेस: सार्वजनिक का मार्ग नाही
फायरवॉल प्रोफाइल ठरवते की कोणता नियमसंच लागू होतो. पॅकेट कोणत्या इंटरफेसने नेले हे ते सांगत नाही, आणि स्पष्ट ब्लॉक संकुचित परवानगीपेक्षा वरचढ ठरतो.
नियम अचूक वाटतो: खाजगी प्रोफाइलवर स्थानिक रहदारी आणि सार्वजनिकवर फक्त VPN रहदारी यांना परवानगी द्या. पण तसे नाही, कारण नेटवर्क प्रोफाइल ठरवते की कोणता फायरवॉल नियमसंच लागू होतो आणि पॅकेट कोणत्या अडॅप्टरने नेले हे सांगत नाही. प्रोफाइलचे नाव मार्गाची अट मानणे ही ती चूक आहे ज्यामुळे मर्यादित इग्रेसची रचना पूर्ण नसतानाही पूर्ण दिसते.
प्रथम प्रवाह लिहून काढा, नंतर प्रत्येकाला प्रत्यक्षात लागू करू शकणारी यंत्रणा कोणती ते ठरवा. ती प्रवाह यादीच पुढील नियम बदलात टिकून राहणारी एकमेव वस्तू आहे.
श्रेणी नियम निवडते, मार्ग नाही
जेव्हा Windows नेटवर्कला सार्वजनिक किंवा खाजगी म्हणून वर्गीकृत करते, तेव्हा फायरवॉल त्या प्रोफाइलसाठी संरचित नियमसंच लागू करते. वर्गीकरण अडॅप्टर ज्या नेटवर्कला जोडले गेले त्याचे अनुसरण करते, आणि नियमसंच तिथे काय अनुमत आहे हे ठरवतो. यापैकी कोणतीही गोष्ट अनुप्रयोगाची रहदारी टनेलने वापरली होती की नाही यावर अवलंबून नाही. हेच स्वातंत्र्य संपूर्ण अडचण आहे.
मार्गाची निवड राउटिंग करते, इंटरफेस मेट्रिक आणि टनेल स्थापित करणारे प्रिफिक्स यांच्याद्वारे. म्हणून प्रोफाइल सार्वजनिक असे लेबल केलेले असू शकते, तर अनुप्रयोगाचे कनेक्शन भौतिक मार्ग घेते, आणि फायरवॉल तरीही सार्वजनिक नियमसंच लागू झाल्याचे कळवते.
म्हणूनच प्रोफाइलपुरता मर्यादित नियम केवळ-टनेल असा अर्थ देऊ शकत नाही. या दोन गुणधर्मांचा निर्णय वेगवेगळे घटक करतात आणि एक दुसऱ्याची जागा घेऊ शकत नाही.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
स्पष्ट ब्लॉक संकुचित परवानगीपेक्षा वरचढ
Microsoft च्या फायरवॉल नियम मार्गदर्शकात डीफॉल्ट ब्लॉक क्रियेतील परवानगी-अपवाद आणि परवानगीशी विसंगत स्पष्ट ब्लॉक यात फरक केला आहे. स्पष्ट ब्लॉक त्या विसंगतीत जिंकतात, आणि आउटबाउंड नियमही तीच प्राधान्यक्रम पाळतात.
म्हणून सर्व काही ब्लॉक करणारा नियम जोडून त्यावर ठेवलेल्या संकुचित परवानगीवर अवलंबून राहण्याची लोकप्रिय पद्धत तिचा लेखक अपेक्षित ते करत नाही. Windows Firewall प्रशासकाने दिलेल्या नियम क्रमाने विसंगती सोडवत नाही. ब्लॉक थेट लागू होतो, आणि जोडणारा अनुप्रयोग कालबाह्यता कळवतो. अपवादासारखा दिसणारा नियम कधीच खेळात नव्हता.
समर्थित स्वरूप म्हणजे मंजूर परवानगी नियमांसह डीफॉल्ट-नकार धोरण, जिथे प्रत्येक परवानगी कार्यक्रम, सेवा किंवा गंतव्यस्थान पुनरावलोकनासाठी पुरेशी अचूकपणे नाव देते. अशी रचना लेखापरीक्षणात टिकते, कारण प्रत्येक अपवाद दिसतो आणि त्यातील कोणताही निर्मितीच्या क्रमावर अवलंबून नाही.
एकमेकांशी विसंगत दोन नियम एका नियमापेक्षा वाईट आहेत, कारण परिणामी वर्तन एकाच वेळी बरोबर आणि अवर्णनीय असते.
आउटबाउंड धोरणाला एकच मालक द्या
समर्थित VPN क्लायंट आधीच स्वतःचे ब्लॉकिंग वर्तन आणि स्वतःचे एंडपॉइंट अपवाद ठेवतो. समन्वय न केलेले मॅन्युअल नियम जोडल्यास तो क्लायंट सेटअपसाठी आवश्यक टनेलबाहेर राहू शकतो, किंवा कोणाच्याही लक्षात न आलेला दुसरा मार्ग उघडा राहू शकतो.
नियम लिहिण्यापूर्वी आउटबाउंड धोरण कोणाचे आहे ते ठरवा: क्लायंटची स्वतःची संरचना, व्यवस्थापित फायरवॉल धोरण, किंवा मालकासह दस्तऐवजीकृत स्थानिक अपवाद यादी. नंतर काही जोडले जाईपर्यंत प्रयोग रचण्याऐवजी स्तरांचे समन्वयन करा. नामनिर्देशित मालक हाच दोन स्तर असहमत असताना विचारला जाणारा व्यक्ती आहे.
काहीही बदलण्यापूर्वी पुनर्प्राप्ती मार्ग राखा. स्वतःच्या व्यवस्थापन मार्गाबाहेर कुलूपबंद केलेले दूरस्थ यंत्र तुम्ही बंद करत असलेल्या धोरणातील त्रुटीपेक्षा वाईट परिणाम आहे. पुनर्प्राप्ती नियम आधीच लिहून ठेवल्यास त्याचे समर्थन करणे सोपे, आणि कोणालाही न आवडणाऱ्या तासाला बदल चुकल्यास तो शोधणेही सोपे.
लेबल वाचण्याऐवजी चार निष्कर्ष तपासा
धोरण जितक्या प्रकरणांना वेगळे करते तितकेच चांगले, म्हणून प्रोफाइल लेबलाला निष्कर्ष न मानता प्रारंभबिंदू माना. चार निष्कर्ष सांगतात ते कार्यरत आहे की नाही: इच्छित LAN विनंती यशस्वी होते, समाविष्ट इंटरनेट विनंती यशस्वी होते, प्रतिबंधित थेट विनंती अयशस्वी होते, आणि टनेल अपयशाचे प्रकरण गुपचूप मागे न हटता रचनेनुसार वागते. चारही निष्कर्ष नियम बदलाच्या शेजारी लिहा. चार नामनिर्देशित प्रकरणांची चाचणी योजना दरवेळी चालवण्याइतकी लहान आणि मोठ्याने अयशस्वी होण्याइतकी विशिष्ट आहे.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
पहिला आदेश दाखवतो की प्रत्येक जोडलेले नेटवर्क कसे वर्गीकृत आहे, जे अनेकदा नियम लिहिणाऱ्याने गृहीत धरलेले नसते. दुसरा प्रत्येक प्रोफाइलची डीफॉल्ट क्रिया दाखवतो, आणि तिसरा सक्षम आउटबाउंड ब्लॉकची यादी देतो, ज्यात संकुचित परवानगी गुपचूप रद्द करणारेही आहेत.
नेटवर्क बदलानंतर चारही प्रकरणे पुन्हा चालवा, कारण यंत्र दुसऱ्या नेटवर्कला जोडल्यावर प्रोफाइल पुन्हा वर्गीकृत होऊ शकते. जुळणारे प्रोफाइल लेबल हा मार्ग तुम्ही इच्छिलेला होता याचा पुरावा नाही.