Profili tal-firewall kontra ħruġ VPN: għaliex pubbliku mhuwiex mogħdija
Profil tal-firewall jagħżel liema sett ta regoli japplika. Ma jgħid xejn dwar liema interface ġarr il-pakkett, u blokk espliċitu jgħeleb permess idjaq.
Ir-regola tinstema preċiża: ippermetti traffiku lokali fuq il-profil privat u biss traffiku VPN fuq dak pubbliku. Mhijiex, għax profil tan-netwerk jagħżel liema sett ta regoli tal-firewall japplika u ma jgħid xejn dwar liema adapter ġarr pakkett. Li tittratta l-isem tal-profil bħala rekwiżit tal-mogħdija hija l-iżball li jagħmel disinn ta ħruġ ristrett jidher lest meta mhuwiex.
L-ewwel ikteb il-flussi, imbagħad iddeċiedi liema mekkaniżmu jista verament jinfurza kull wieħed minnhom. Dik il-lista tal-flussi hija l-unika artefatt li jgħaddi mill-bidla tar-regoli li jmiss.
Il-kategorija tagħżel regoli, mhux mogħdijiet
Meta Windows tikklassifika netwerk bħala pubbliku jew privat, il-firewall japplika s-sett ta regoli konfigurat għal dak il-profil. Il-klassifikazzjoni ssegwi n-netwerk li l-adapter ingħaqad miegħu, u s-sett ta regoli jiddeċiedi x'inhu permess fuqu. L-ebda waħda minn dawn il-fatti ma tiddependi mill-fatt jekk it-traffiku ta applikazzjoni użax il-mina. Proprju dik l-indipendenza hija d-diffikultà kollha.
L-għażla tal-mogħdija tagħmilha r-rotta, permezz tal-metrika tal-interface u l-prefiss li tinstalla l-mina. Għalhekk profil jista jitmarka bħala pubbliku waqt li l-konnessjoni ta applikazzjoni tieħu l-mogħdija fiżika, u l-firewall xorta jirrapporta li ġie applikat is-sett ta regoli pubbliku.
Għalhekk regola limitata għall-profil ma tistax tfisser mina biss. Iż-żewġ proprjetajiet jiġu deċiżi minn komponenti differenti u waħda ma tistax tieħu post l-oħra.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
Blokk espliċitu jgħeleb permess idjaq
Il-gwida ta Microsoft dwar regoli tal-firewall tiddistingwi permess bħala eċċezzjoni għal azzjoni ta blokk prestabbilita minn blokk espliċitu li jmur kontra permess. Il-blokki espliċiti jirbħu dak il-kunflitt, u r-regoli tal-ħruġ jobdu l-istess preċedenza.
Għalhekk ir-riċetta popolari li żżid regola li timblokka kollox u tiddependi fuq permess idjaq imqiegħed fuqha ma tagħmilx dak li jistenna l-awtur tagħha. Windows Firewall ma ssolvix il-kunflitt bl-ordni tar-regoli assenjata mill-amministratur. Il-blokk sempliċement japplika, u l-applikazzjoni li tqabbad tirrapporta timeout. Ir-regola li dehret bħall-eċċezzjoni qatt ma kienet fil-logħba.
Il-forma appoġġata hija politika ta ċaħda prestabbilita b'regoli ta permess approvati, fejn kull permess isemmi programm, servizz jew destinazzjoni b'mod preċiż biżżejjed biex jiġi rivedut. Dak id-disinn jiflaħ għal awditjar, għax kull eċċezzjoni hija viżibbli u l-ebda waħda minnhom ma tiddependi mill-ordni li nħolqu fih.
Żewġ regoli li jikkontradixxu lil xulxin huma agħar minn regola waħda, għax l-imġiba li tirriżulta hija korretta u inspjegabbli fl-istess ħin.
Agħti lill-politika tal-ħruġ sid wieħed
Klijent VPN appoġġat diġà jżomm l-imġiba tal-blokk tiegħu u l-eċċezzjonijiet tal-punt aħħari tiegħu. Iż-żieda ta regoli manwali mhux ikkoordinati tista tħalli lil dak il-klijent barra mill-mina li jeħtieġ għas-setup, jew tħalli t-tieni mogħdija miftuħa li ħadd ma nduna biha.
Iddeċiedi min jippossjedi l-politika tal-ħruġ qabel ma tikteb regoli: il-konfigurazzjoni tal-klijent stess, politika tal-firewall ġestita, jew lista ta eċċezzjonijiet lokali dokumentata b'sid. Imbagħad irrikonċilja s-saffi minflok ma tqiegħed esperimenti fuq xulxin sakemm xi ħaġa tqabbad. Sid bl-isem huwa wkoll dak li tistaqsi meta żewġ saffi ma jaqblux.
Ippreserva kanal ta rkupru qabel ma tbiddel xi ħaġa. Magna remota msakkra barra mill-mogħdija tal-ġestjoni tagħha stess hija riżultat agħar mill-vojt fil-politika li kont qed tagħlaq. Ir-regola tal-irkupru hija eħfef biex tiġġustifikaha meta tkun miktuba bil-quddiem, u eħfef biex issibha meta bidla tmur ħażin f'siegħa li ħadd ma jieħu pjaċir biha.
Ittestja erba riżultati minflok ma taqra t-tikketta
Politika hija tajba daqs il-każijiet li tiddistingwi, għalhekk ittratta t-tikketta tal-profil bħala punt tat-tluq u mhux bħala riżultat. Erba riżultati jgħidulek jekk taħdimx: it-talba LAN maħsuba tirnexxi, talba tal-internet koperta tirnexxi, talba diretta pprojbita tfalli, u l-każ tal-falliment tal-mina jġib ruħu kif iddisinjat minflok ma jirtira bil-kwiet. Ikteb l-erba riżultati ħdejn il-bidla tar-regoli. Pjan ta test b'erba każijiet imsemmija huwa qasir biżżejjed biex jiġi esegwit kull darba u speċifiku biżżejjed biex ifalli bl-għajjat.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
L-ewwel kmand juri kif kull netwerk konness huwa kklassifikat, li spiss mhux dak li assuma l-persuna li kitbet ir-regola. It-tieni juri l-azzjoni prestabbilita għal kull profil, u t-tielet jelenka l-blokki tal-ħruġ attivati, inklużi dawk li bil-kwiet se jiksru permess idjaq.
Erġa ħaddem l-erba każijiet wara bidla fin-netwerk, għax profil jista jiġi rrikklassifikat meta l-magna tingħaqad ma netwerk differenti. Tikketta tal-profil li taqbel mhijiex prova li l-mogħdija kienet dik li inti ħsibt.