Il-firewall ta' Windows waħdu bħala swiċċ tal-waqfien VPN: jiflaħ?
Regoli tat-tip ta' interface jistgħu jimblukkaw l-adattaturi fiżiċi, iżda tunnel ta' partijiet terzi spiss jidher bil-wajer. Iċċekkja l-klassifikazzjoni, ir-rotta tal-punt finali, imbagħad DNS.
Staqsi jekk il-firewall ta' Windows jistax waħdu jaġixxi bħala swiċċ tal-waqfien u se tikseb żewġ tweġibiet kunfidenti u inkonsistenti. Wieħed jgħid li r-regola tat-tip ta' interface tagħmel ix-xogħol kollu; l-ieħor jgħid li ma taħdimx mingħajr skripts. It-tnejn jiddeskrivu nofs l-istess mekkaniżmu. Il-firewall jista' jesprimi l-imblukkar, u jekk ir-riżultat verament ifalli magħluq jiddependi fuq tliet affarijiet: kif Windows tikklassifika l-adattatur tat-tunnel, jekk l-eċċezzjoni tal-punt finali tibqax hemm, u jekk is-soluzzjoni tal-ismijiet u IPv6 humiex koperti. Żbalja f'waħda minnhom u l-magna jew tnixxi jew titlef il-konnessjoni kollha.
Tliet kundizzjonijiet, f'dan l-ordni
L-ewwel kundizzjoni hija l-klassifikazzjoni, u din tiddeċiedi jekk ir-regola li trid hijiex espressibbli. Ir-regoli tal-firewall ta' Windows jistgħu jiġu limitati skont it-tip ta' interface: bil-wajer, mingħajr wajer jew aċċess mill-bogħod. Politika li timblokka t-traffiku ħiereġ fuq it-tipi fiżiċi filwaqt li tippermetti t-tunnel taħdem biss jekk Windows tagħraf it-tunnel bħala aċċess mill-bogħod.
It-tieni kundizzjoni hija l-eċċezzjoni tal-punt finali. Qabel ma jeżisti xi tunnel, il-klijent irid jilħaq is-server VPN mill-adattatur fiżiku, għalhekk imblukkar sħiħ fuq dak l-adattatur jipprevjeni eżattament il-konnessjoni li kienet tagħmel l-imblukkar żejjed. L-eċċezzjoni trid issemmi s-server u l-port tiegħu, u l-pakkett irid joħroġ mill-gateway fiżiku u mhux f'tunnel li għadu ma tela'x.
It-tielet hija l-kopertura. Sett ta' regoli li jimblokka IPv4 u jinsa IPv6, jew li jippermetti lis-soluzzjoni lokali tfittex il-punt finali u għalhekk tippermetti kull tfittxija oħra, ifalli miftuħ eżattament fit-tieqa li għaliha jeżisti s-swiċċ tal-waqfien. Dak huwa vojt fid-disinn, mhux difett fil-firewall. Huwa wkoll il-vojt li jgħaddi minn kull prova fuq skrivanija.
Il-klassifikazzjoni hija l-ewwel bieb
Ara x'taħseb Windows dwar l-adattaturi qabel ma tikteb regola waħda. Konnessjoni VPN nattiva ta' Windows normalment tidher bħala aċċess mill-bogħod. Klijent ta' partijiet terzi li joħloq l-adattatur virtwali tiegħu spiss jidher bil-wajer, li jfisser li imblukkar limitat għall-adattaturi bil-wajer jimblokka wkoll it-tunnel.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionIt-tielet kmand jgħidlek jekk imblukkar ħiereġ awtomatiku huwiex diġà fis-seħħ, u dan ibiddel il-forma kollha tad-disinn. Jekk l-awtomatiku huwa diġà imblukkar, qed tikteb regoli ta' permess u mhux eċċezzjonijiet għal bażi permessiva, u dan huwa atteġġjament ħafna aktar faċli biex tarrah.
Jekk l-adattatur tat-tunnel tiegħek jirrapporta bħala bil-wajer, il-firewall waħdu mhuwiex l-għodda t-tajba għal disinn li jfalli magħluq, u ebda aġġustament tar-regoli ma jibdlu dan. Dan huwa l-każ fejn it-tieni opinjoni f'kull ħajt tal-forum hija korretta.
L-eċċezzjoni tal-punt finali teħtieġ rotta kif ukoll regola
Ejja ngħidu li l-klassifikazzjoni taħdem. L-eċċezzjoni hija żewġ biċċiet, u jgħixu f'sottosistemi differenti. Ir-regola tal-firewall tippermetti t-traffiku; ir-rotta tal-host tagħmilha toħroġ mill-interface t-tajba waqt li t-tunnel ikun 'l isfel.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32Mingħajr ir-rotta, l-eċċezzjoni tgħin biss sakemm rotta awtomatika għadha tindika lejn il-gateway fiżiku. Malli l-klijent jinstalla r-rotta awtomatika tiegħu u mbagħad imut, il-pakketti permessi ma jkollhomx fejn imorru b'mod sensibbli u l-konnessjoni ma tistax terġa' tiġi stabbilita. Dak il-falliment jidher bħala klijent miksur u fil-verità hija rotta nieqsa.
Żomm l-eċċezzjoni dejqa kemm jippermetti l-klijent. Indirizz wieħed u port wieħed huma reviżabbli; firxa li tkopri n-netwerk kollu tal-fornitur mhijiex. Dik ir-regola usa' tippermetti wkoll kull ħaġa oħra ospitata għand l-istess fornitur, li normalment hija aktar milli ħsibt.
DNS u IPv6 huma fejn ifalli miftuħ
Is-soluzzjoni tal-ismijiet hija l-leak klassiku. Jekk il-punt finali huwa isem tal-host, il-klijent irid isolvih qabel ma jeżisti t-tunnel, li jfisser li l-adattatur fiżiku jrid jitħalla jilħaq solver. L-istess permess iħalli kull tfittxija oħra toħroġ waqt li t-tunnel ikun 'l isfel, u tfittxija waħda biżżejjed biex tikxef dak li kont se żżur.
IPv6 huwa t-tieni. Regoli miktuba għal IPv4 ma jkoprux il-familja l-oħra, u ħafna klijenti jinstallaw biss rotot IPv4. Magna b'konnettività IPv6 nattiva għalhekk tista' tkompli titkellem mal-internet waqt li n-naħa IPv4 hija mblukkata sew, u s-swiċċ tal-waqfien jirrapporta suċċess il-ħin kollu.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
It-tielet ringiela jistħoqqilha tinftiehem minflok tiġi evitata. Firewall jiddeċiedi dwar pakketti, mhux dwar liema interface talab applikazzjoni juża, u programm li jingħaqad b'mod espliċitu jista' jkun diffiċli jitrażżan. Dan huwa argument favur swiċċ tal-waqfien fuq in-naħa tal-klijent li jaħdem taħt l-applikazzjoni, mhux favur aktar regoli.
Ittestja billi twaqqaf il-klijent, mhux billi tiġbed il-kejbil
L-unika prova sinifikanti hija dik li timita l-falliment li qed tipproteġi kontrih. Waqqaf is-servizz, oqtol il-proċess, jew iddiżattiva l-adattatur maħluq mill-klijent, imbagħad pprova tilħaq l-internet u isem:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443It-tlieta għandhom ifallu. Jekk l-ewwel jirnexxi, l-imblukkar mhuwiex fis-seħħ; jekk it-tieni jirnexxi fejn l-ewwel falla, għandek leak DNS; jekk it-tielet jirnexxi, IPv6 mhux kopert. Kull riżultat jindika eżattament wieħed mill-vojtiet hawn fuq.
Erġa' agħmel il-prova wara rqad u qawmien, għax il-profil tal-firewall jista' jinbidel meta Windows tiddeċiedi li netwerk huwa pubbliku jew privat, u regoli limitati għal profil jimxu miegħu. Disinn li jiflaħ fuq skrivanija u jfalli fi tren huwa disinn li ġie ttestjat darba.
Jekk il-bieb tal-klassifikazzjoni jew ir-rekwiżit tad-DNS jagħmlu l-approċċ tal-firewall-waħdu mhux prattikabbli, swiċċ tal-waqfien fuq in-naħa tal-klijent hija t-tweġiba onesta. Jekk it-tunnel jintemm fuq router minflok, il-politika għandha tkun tar-router, għax regola waħda hemmhekk tkopri kull apparat warajh u ma tiddependix minn kif Windows tinnomina adattatur.