Għaliex daħla tal-firewall marbuta mal-istat tal-VPN mhix regola ta' ping mill-mina biss

Immaġina regola tal-firewall li tixgħel l-ICMP echo għall-indirizz pubbliku tas-server kull darba li jkun konness profil tal-VPN imsemmi. Din tinqara bħala «ping mill-mina biss», u dak il-qari huwa żbaljat b'mod li huwa importanti. Ir-regola ma tillimitax min jista' jasal għall-host; tibdel dak li twieġeb l-interfaċċa pubblika waqt li konnessjoni oħra tkun attiva b'kumbinazzjoni. Dawn huma żewġ politiki differenti, u waħda minnhom twessa' l-espożizzjoni bil-kwiet.

Ir-regola li taħseb li ktibt

Il-ħtieġa maħsuba normalment hija dejqa: is-sistema ta' monitoraġġ, jew l-uniku amministratur fuq il-VPN, għandu jkun jista' jikkonferma li s-server huwa ħaj. Miktuba bħala sentenza, tinstema' bħal kontroll tal-aċċess fuq il-mina. Miktuba bħala oġġett tal-firewall, issir kundizzjoni fuq il-profil pubbliku, għax hemmhekk tasal it-talba echo.

Ladarba l-kundizzjoni ssir stat ta' konnessjoni u mhux indirizz tas-sors, is-sett ta' mittenti permessi m'għadux is-sett tal-pari tal-VPN. Kull min jista' jasal għall-indirizz pubbliku jista' jibgħat talba echo sakemm id-daħla tkun miftuħa. Il-mina ma saretx it-triq; il-mina saret l-iswiċċ.

Dawk li jippromwovu din l-idea normalment ma jigdbux dwar l-effett li riedu. Kienu jeħtieġu verifika li twieġeb biss meta l-ħolqa tkun f'saħħitha, u s-saħħa tal-ħolqa kienet l-aktar faċli tinġabar permezz tal-VPN. L-iżball huwa li sinjal ta' disponibbiltà jiġi trattat bħala deċiżjoni ta' aċċess, u mbagħad jiġi awtomatizzat.

X'inhi tassew tikkontrolla d-daħla

Dan id-disinn iżewweġ żewġ affarijiet indipendenti, u s-separazzjoni tagħhom hija l-biċċa l-kbira tat-tiswija. L-ewwel hija l-firxa: liema indirizz lokali, liema indirizzi remoti, liema protokoll u liema tip ta' ICMP. It-tieni hija l-kundizzjoni: jekk l-oġġett tar-regola huwiex attivat f'dan il-mument. Il-firxa hija dak li firewall jevalwa għal kull pakkett; il-kundizzjoni hija dak li script jikteb fil-maħżen tal-politika, u t-tnejn jiġu rikonċiljati fuq arloġġi kompletament differenti.

Jekk il-ħtieġa hija tassew biss il-pari tal-VPN, il-firxa twieġebha mingħajr ebda loġika tal-istat tal-konnessjoni: orbot ir-regola mal-interfaċċa tal-mina jew mal-firxa tal-indirizzi tal-mina, illimita l-indirizzi remoti għall-ġabra tal-klijenti, u speċifika t-tip echo minflok «ICMP». Dik ir-regola tibqa' korretta meta ma jkun hemm l-ebda VPN attiv u ma tistax tinfetaħ minn profil mhux relatat.

Jekk il-ħtieġa hija tassew daħla pubblika, għidha fit-test tal-politika, għax il-kriterji tal-aċċettazzjoni jinbidlu. Daħla pubblika trid issemmi l-profil eżatt, tiddefinixxi x'ifisser «konness», u tiddikjara li l-mittenti pubbliċi huma fil-firxa skont id-disinn. Il-biċċa l-kbira tal-konfużjoni tispiċċa fil-mument li fih xi ħadd jiġi mġiegħel jikteb dik is-sentenza.

Ibni l-oġġett darba, imbagħad dawwarh

Ipprovdi minn qabel regola waħda b'identità stabbli, diżattivata, u ħalli l-kontrollur ibiddel biss l-istat tal-attivazzjoni tagħha. Il-ħolqien ta' regoli bl-isem tal-wiri f'kull esekuzzjoni huwa l-mod kif maħżen tal-politika jispiċċa b'ħames oġġetti kważi identiċi u mingħajr mod affidabbli kif tneħħihom.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

L-isem huwa l-identifikatur dejjiemi; l-isem tal-wiri huwa dokumentazzjoni li bniedem jista' jeditja. Irrikonċilja fuq -Name u l-iskript jieqaf jipproduċi duplikati. L-istess forma ta' kmand tkopri l-każ tal-IPv6 bl--Protocol ICMPv6 -IcmpType 128, iżda dik hija regola separata għax in-numri tat-tip echo huma differenti bejn iż-żewġ familji.

Żomm il-familja tal-indirizzi u t-tip tal-ICMP espliċiti għal raġuni oħra: -Protocol ICMPv4 mingħajr tip jippermetti kull messaġġ tal-ICMPv4 li l-profil jippermetti, inklużi dawk li qatt ma ħsibt li taċċetta. Isemmit tat-tip 8 jidjieq ir-regola għat-talba echo, u dak huwa l-unika ħaġa li tibgħat verifika tal-aċċessibilità.

Fejn l-awtomatizzazzjoni tikkontradixxi l-intenzjoni

L-istħarriġ ta' profil tal-klijent kull ftit minuti ma jistax jipproduċi fruntiera immedjata. Bejn il-waqgħa tal-konnessjoni u l-istħarriġ li jmiss ir-regola għadha twieġeb fuq l-indirizz pubbliku; bejn it-tlugħ tal-konnessjoni u l-istħarriġ li jmiss ma twieġebx. Li wieħed jammetti dak id-dewmien huwa onest, u li jgħid li d-disinn jinfurza invariant strett mhuwiex.

Fid-verifika tal-istat innifisha hemm nassa tal-firxa. Get-VpnConnection jirrapporta profili tal-klijent konfigurati fuq il-magna, b'mod awtomatiku għall-utent attwali u għall-utenti kollha bl--AllUserConnection. Ma jirrapportax lill-utenti remoti li bħalissa huma konnessi ma' server RRAS; dik hija osservazzjoni oħra b'kmand ieħor. Daħla mibnija fuq dik żbaljata mhija konnessa ma' xejn.

Imbagħad kopri l-istati li ħadd ma jikteb script għalihom: tluq bir-regola diġà attivata minn esekuzzjoni preċedenti, waqgħa tal-kontrollur waqt li d-daħla hija miftuħa, u profil imħassar waqt li r-regola tiegħu tibqa' ħajja. Kull wieħed jeħtieġ default definit, u d-default sigur għal permess pubbliku huwa diżattivat. Jekk il-ħtieġa tassew ma tiflaħx it-tieqa tal-istħarriġ, regola marbuta mal-istat hija l-għodda żbaljata u l-infurzar jappartjeni lill-mina, mhux lill-interfaċċa pubblika.

Fl-aħħar, ipprova t-talba pubblika darbtejn, darba bil-konnessjoni magħżula attiva u darba magħluqa, minn host li mhuwiex fuq il-VPN. Ping li jirnexxi minn ġewwa l-mina ma jipprova xejn dwar din il-politika, u dik hija l-kejl li ħafna implimentazzjonijiet jaqbeżu.