Il-ping jaħdem biss f'daqqa waħda: għaliex Windows jitfa' l-echo tas-server

Il-klijent tiegħek jagħmel ping lis-server, is-server ma jistax jagħmel ping lill-klijent, u t-tunnel b'mod ċar qed iġorr pakketti fiż-żewġ dikjarazzjonijiet. Dak li jvarja mhux il-perkors imma l-ewwel pakkett ta' kull prova: wieħed huwa tweġiba għal fluss li Windows diġà qed isegwi, l-ieħor huwa talba ġdida dieħla li l-ebda regola ma ammettiet. Dik id-differenza tispjega l-biċċa l-kbira tar-rapporti ta' ping f'direzzjoni waħda u tindika direttament ir-regola li trid tikteb. Żewġ provi f'direzzjonijiet opposti jifirdu l-każijiet f'madwar minuta.

Żewġ direzzjonijiet, żewġ deċiżjonijiet differenti

Meta l-klijent jibgħat it-talba tal-echo, il-firewall ta' Windows jara konnessjoni ħierġa li ddeċieda li jippermetti. It-tweġiba terġa' lura ġewwa dak il-fluss stabbilit, għalhekk il-magna li ssegwi l-istat tammettiha mingħajr ma tistaqsi l-ebda regola dieħla għall-ICMP. Dan ifisser filtrazzjoni bbażata fuq l-istat fil-prattika, u r-regola li ħadd ma kiteb mhijiex involuta. Għalhekk is-suċċess tal-klijent ma jgħid xejn dwar il-politika dieħla.

Meta s-server jibgħat it-talba l-ewwel, l-ebda stat ma jaqbel magħha. Windows jittratta l-pakkett bħala konnessjoni dieħla ġdida u jistaqsi l-politika dieħla, li b'mod awtomatiku ma tipprovdi xejn għal talbiet tal-echo li jaslu minn sorsi arbitrarji.

Allura s-suċċess tal-klijent wera li l-ICMP ħiereġ u t-triq tar-ritorn jaħdmu. Qatt ma pprova d-deċiżjoni dieħla, u l-konklużjoni naturali, li l-firewall huwa tajjeb, hija raġonevoli u żbaljata. Għalhekk l-iżball jerġa' jseħħ fi tikketti li diġà fihom il-prova.

Segwi l-pakkett sakemm jisparixxi

Ikkonferma l-indirizzi qabel ma tibdel xejn: uża l-indirizz tat-tunnel li l-klijent fil-fatt għandu, u ċċekkja li s-server jidderieġi lejh u mhux lejn indirizz LAN wara l-klijent. Iż-żewġ fallimenti jidhru l-istess mill-prompt tas-server, għax it-tnejn jispiċċaw f'waqfa ta' żmien. Fejn il-pakkett imut hija l-unika fatt li tiddeċiedi x'għandu jinbidel.

Jekk it-talba tilħaq l-interface tat-tunnel u xejn ma joħroġ, il-firewall lokali huwa r-raġuni probabbli. Jekk qatt ma tilħaq l-interface, it-tweġiba hija aktar 'il fuq: rotta fuq is-server, politika ħierġa, jew il-kunsinna tal-pari tal-VPN stess.

Aqbad fuq l-interface tat-tunnel tal-klijent waqt li s-server jagħmel ping. Li tara t-talba tasal mingħajr tweġiba ħdejha hija l-prova li tiġġustifika l-kitba ta' regola ta' Windows. Li ma tara xejn jibgħatek 'il fuq, u regola miżjuda f'dak l-istat tagħmel il-magna biss aktar permissiva għal pakkett li qatt ma wasal. F'kull każ il-qabda tiswa inqas mill-ipoteżijiet li tissostitwixxi.

Illimita regola waħda minflok tiftaħ ICMP

Identifika l-adapter u l-kategorija tiegħu bħalissa qabel tikteb xejn, għax it-tnejn jidhru fl-ambitu li se tistabbilixxi. Dak l-alias huwa l-isem tal-interface ta' Windows, li mhux bilfors huwa l-isem tal-profil tal-VPN li importajt. Il-kmandi hawn taħt jelenkaw x'jeżisti, imbagħad juru ħarsa bil-quddiem ta' regola limitata mingħajr ma japplikawha.

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 tip 8 hija t-talba tal-echo, l-unika messaġġ li s-server jeħtieġ tweġiba għalih. Illimitalha għall-indirizz tat-tunnel tas-server u għall-interface tat-tunnel, u ħalli l-profil kif l-adapter fil-fatt huwa. Li tibdel isem netwerk biex jaqbel ma' eżempju hija bidla separata bil-konsegwenzi tagħha.

X'ma tkoprix ir-regola

L-echo tal-IPv6 huwa protokoll ieħor bi tip ta' messaġġ ieħor, għalhekk regola tal-ICMPv4 ma tgħid xejn dwaru, u tunnel li jġorr iż-żewġ familji jeħtieġ regola tiegħu għall-oħra. Din ir-regola lanqas tiftaħ xejn ieħor: RDP, il-qsim tal-fajls u kull servizz ieħor għadhom jiddependu mill-politika tagħhom. Dan huwa l-iskop kollu li tillimita regola waħda dejqa minflok tippermetti permess wiesa' tal-ICMP. Il-permess wiesa' huwa s-sewqan faċli u dak li jdum l-aktar, għax wara ħadd ma jinnotah.

Fuq apparat immaniġġjat ir-regola tista' tiġi sostitwita fl-aġġornament tal-politika li jmiss, għalhekk is-sid tal-politika għandu jagħmel il-bidla ekwivalenti u mhux amministratur lokali. Ikteb il-ħsieb fit-tikketta flimkien mal-kmand, għax aġġornament se jħassar il-kmand u jħalli l-ħtieġa sħiħa. It-tnejn mhumiex l-istess artefatt, u wieħed biss minnhom jibqa'.

Aqra r-riżultat fid-direzzjoni t-tajba

Wara li r-regola tapplika, agħmel ping mis-server u kkonferma li tweġiba tasal għall-klijent, imbagħad agħmel ping minn sors li xorta għandu jibqa' eskluż u kkonferma li ma tasalx. Errepeti l-prova tal-aċċessibilità fuq il-familja l-oħra tal-indirizzi jekk it-tunnel iġorr waħda.

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

Li tipprintja r-regola li daħlet fis-seħħ huwa aktar utli milli tafda l-kmand li ħoloqha, għax ħarsa bil-quddiem u regola applikata huma stati differenti. Jekk il-filtru tal-indirizzi juri s-sors li kellek f'moħħok u s-sors eskluż xorta jispiċċa f'waqfa ta' żmien, ir-regola tagħmel eżatt dak li tgħid il-firxa tagħha. Ping b'suċċess li jibda mill-klijent qatt ma kien juri dan, u għalhekk id-direzzjoni ta' kull prova tappartjeni lir-rekord ħdejn ir-riżultat tagħha. Żomm iż-żewġ direzzjonijiet fit-tikketta, altrimenti l-qarrej li jmiss se jtenni l-prova li ma tistax tfalli.