फक्त Windows फायरवॉल VPN बंद करणारा स्विच म्हणून: टिकतो का?
इंटरफेस-प्रकाराचे नियम भौतिक अडॅप्टर ब्लॉक करू शकतात, पण तृतीय-पक्षाची टनेल बहुतेक वेळा तारेची दिसते। वर्गीकरण, एंडपॉइंट मार्ग, नंतर DNS तपासा।
Windows फायरवॉल एकटाच आपत्कालीन स्विच म्हणून काम करू शकतो का असे विचारल्यास तुम्हाला दोन आत्मविश्वासपूर्ण आणि विसंगत उत्तरे मिळतील। एक म्हणते इंटरफेस-प्रकाराचा नियम सर्व काम करतो; दुसरे म्हणते स्क्रिप्टशिवाय ते चालत नाही। दोन्ही एकाच यंत्रणेचा अर्धा भाग वर्णन करतात। फायरवॉल ब्लॉक व्यक्त करू शकतो, आणि निकाल खरोखर बंद होऊन अपयशी ठरतो का हे तीन गोष्टींवर अवलंबून आहे: Windows टनेल अडॅप्टरचे वर्गीकरण कसे करते, एंडपॉइंट अपवाद टिकतो का, आणि नाव-निराकरण व IPv6 व्यापले आहेत का। यापैकी एकही चुकल्यास मशीन एकतर गळते किंवा सर्व कनेक्टिव्हिटी गमावते।
तीन अटी, या क्रमाने
पहिली अट वर्गीकरण आहे, आणि तुम्हाला हवा असलेला नियम अगदी व्यक्त होऊ शकतो का हे ते ठरवते। Windows फायरवॉलचे नियम इंटरफेस-प्रकाराने मर्यादित करता येतात: तारेचा, वायरलेस किंवा दूरस्थ प्रवेश। भौतिक प्रकारांवर बाहेर जाणारा रहदारी ब्लॉक करून टनेलला परवानगी देणारे धोरण तेव्हाच काम करते जेव्हा Windows टनेलला दूरस्थ प्रवेश म्हणून ओळखते।
दुसरी अट एंडपॉइंट अपवाद आहे। कोणतीही टनेल असण्यापूर्वी क्लायंटने भौतिक अडॅप्टरमार्फत VPN सर्व्हरपर्यंत पोहोचले पाहिजे, म्हणून त्या अडॅप्टरवरील संपूर्ण ब्लॉक तेच कनेक्शन रोखतो जे ब्लॉक अनावश्यक ठरवले असते। अपवादाने सर्व्हर आणि त्याचे पोर्ट नमूद केले पाहिजे, आणि पॅकेटने अजून न उभ्या असलेल्या टनेलमध्ये नाही तर भौतिक गेटवेमार्फत बाहेर पडले पाहिजे।
तिसरी व्याप्ती आहे। जो नियम-संच IPv4 ब्लॉक करतो आणि IPv6 विसरतो, किंवा एंडपॉइंट शोधासाठी स्थानिक रिझॉल्व्हरला परवानगी देऊन त्यामुळे इतर प्रत्येक शोधलाही परवानगी देतो, तो स्विच अस्तित्वात असण्याच्या नेमक्या त्या खिडकीत उघडा अपयशी ठरतो। ही रचनेतील त्रुटी आहे, फायरवॉलची खराबी नाही। हीच ती त्रुटी आहे जी डेस्कवरील प्रत्येक चाचणीतून टिकते।
वर्गीकरण हे पहिले दार आहे
एकही नियम लिहिण्यापूर्वी Windows अडॅप्टरबद्दल काय विचार करते ते पहा। Windows चे मूळ VPN कनेक्शन सामान्यतः दूरस्थ प्रवेश म्हणून दिसते। स्वतःचे व्हर्च्युअल अडॅप्टर तयार करणारा तृतीय-पक्ष क्लायंट बहुतेक वेळा तारेचा दिसतो, याचा अर्थ तारेच्या अडॅप्टरपुरता मर्यादित ब्लॉक टनेलही ब्लॉक करतो।
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionतिसरा आदेश सांगतो की डीफॉल्ट बाहेर जाणाऱ्या रहदारीचा ब्लॉक आधीच लागू आहे का, ज्यामुळे रचनेचा संपूर्ण आकार बदलतो। डीफॉल्ट आधीच ब्लॉक असल्यास, तुम्ही परवानगी देणाऱ्या पायावर अपवाद नाही तर परवानगीचे नियम लिहित आहात, आणि त्यावर विचार करणे खूप सोपे आहे।
तुमचा टनेल अडॅप्टर तारेचा असल्याचे सांगत असल्यास, बंद-अपयशाच्या रचनेसाठी फक्त फायरवॉल योग्य साधन नाही, आणि कितीही नियम सुधारले तरी ते बदलत नाही। प्रत्येक फोरम थ्रेडमधील दुसरे मत बरोबर असण्याची हीच स्थिती।
एंडपॉइंट अपवादाला नियमाबरोबर मार्गही हवा
वर्गीकरण चालते असे गृहीत धरू। अपवाद दोन तुकड्यांचा आहे, आणि ते वेगवेगळ्या उपप्रणालींमध्ये राहतात। फायरवॉल नियम रहदारीला परवानगी देतो; होस्ट मार्ग टनेल खाली असताना त्याला योग्य इंटरफेसमधून बाहेर पडू देतो।
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32मार्गाशिवाय एंडपॉइंट अपवाद तेव्हाच मदत करतो जोपर्यंत डीफॉल्ट मार्ग अजून भौतिक गेटवेकडे निर्देश करतो। क्लायंटने स्वतःचा डीफॉल्ट मार्ग बसवून नंतर मरण पावल्यास, परवानगी दिलेल्या पॅकेटना जाण्यासाठी अर्थपूर्ण जागा उरत नाही आणि कनेक्शन पुन्हा स्थापित करता येत नाही। ते अपयश तुटलेल्या क्लायंटसारखे दिसते आणि प्रत्यक्षात गहाळ मार्ग असतो।
अपवाद क्लायंट परवानगी देतो तितका अरुंद ठेवा। एक पत्ता आणि एक पोर्ट पुनरावलोकनयोग्य आहे; पुरवठादाराचे संपूर्ण नेटवर्क व्यापणारी श्रेणी नाही। तो व्यापक नियम त्याच पुरवठादाराकडे होस्ट केलेल्या बाकी सर्वांनाही परवानगी देतो, जे सहसा तुमच्या हेतूपेक्षा जास्त असते।
DNS आणि IPv6 हीच अशी ठिकाणे आहेत जिथे ते उघडे अपयशी ठरते
नाव-निराकरण ही पारंपरिक गळती आहे। एंडपॉइंट होस्टनाव असल्यास, टनेल असण्यापूर्वी क्लायंटने ते सोडवले पाहिजे, याचा अर्थ भौतिक अडॅप्टरला रिझॉल्व्हरपर्यंत पोहोचण्याची परवानगी द्यावी लागते। तीच परवानगी टनेल खाली असताना इतर प्रत्येक शोध बाहेर पाठवते, आणि एक शोध तुम्ही काय पाहणार होता हे उघड करण्यास पुरतो।
IPv6 दुसरे आहे। IPv4 साठी लिहिलेले नियम दुसऱ्या कुटुंबाला व्यापत नाहीत, आणि अनेक क्लायंट फक्त IPv4 मार्ग बसवतात। त्यामुळे मूळ IPv6 कनेक्टिव्हिटी असलेले मशीन IPv4 बाजू घट्ट ब्लॉक असतानाही इंटरनेटशी बोलत राहू शकते, आणि स्विच संपूर्ण वेळ यशाची नोंद करतो।
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
तिसरी ओळ टाळण्याऐवजी समजून घेण्यासारखी आहे। फायरवॉल पॅकेटबद्दल निर्णय घेतो, अनुप्रयोगाने कोणता इंटरफेस वापरायचा असे मागितले याबद्दल नाही, आणि स्पष्टपणे बाइंड होणारा प्रोग्राम नियंत्रित करणे कठीण होऊ शकते। हा अनुप्रयोगाच्या खाली काम करणाऱ्या क्लायंट-बाजूच्या स्विचच्या बाजूने युक्तिवाद आहे, अधिक नियमांच्या बाजूने नाही।
केबल ओढून नाही, क्लायंट थांबवून चाचणी करा
एकमेव अर्थपूर्ण चाचणी म्हणजे जी तुम्ही संरक्षण करत असलेल्या अपयशाची नक्कल करते। सेवा थांबवा, प्रक्रिया मारून टाका, किंवा क्लायंटने तयार केलेला अडॅप्टर निष्क्रिय करा, नंतर इंटरनेट आणि नावापर्यंत पोहोचण्याचा प्रयत्न करा:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443तिन्ही अपयशी झाले पाहिजेत। पहिले यशस्वी झाल्यास ब्लॉक लागू नाही; पहिले अपयशी झालेल्या ठिकाणी दुसरे यशस्वी झाल्यास तुमच्याकडे DNS गळती आहे; तिसरे यशस्वी झाल्यास IPv6 व्यापलेले नाही। प्रत्येक निकाल वरील त्रुटींपैकी नेमक्या एकाकडे निर्देश करतो।
झोप आणि जागल्यानंतर चाचणी पुन्हा करा, कारण Windows नेटवर्क सार्वजनिक की खाजगी हे ठरवते तेव्हा फायरवॉल प्रोफाइल बदलू शकते, आणि प्रोफाइलपुरते मर्यादित नियम त्याचे अनुसरण करतात। डेस्कवर टिकणारी आणि ट्रेनमध्ये अपयशी होणारी रचना एकदाच चाचणी केलेली रचना असते।
वर्गीकरणाचे दार किंवा DNS ची आवश्यकता फक्त-फायरवॉल दृष्टिकोन अव्यवहार्य करत असल्यास, क्लायंट-बाजूचा स्विच हेच प्रामाणिक उत्तर। टनेल त्याऐवजी राउटरवर संपत असल्यास, धोरण राउटरकडे असावे, कारण तेथील एक नियम त्याच्या मागील प्रत्येक उपकरण व्यापतो आणि Windows अडॅप्टरला काय नाव देते यावर अवलंबून नाही।