फायरवाल प्रोफाइल र VPN इग्रेस: सार्वजनिक किन मार्ग होइन
फायरवाल प्रोफाइलले कुन नियम समूह लागू हुन्छ छान्छ। यसले प्याकेट कुन इन्टरफेसले बोक्यो भन्ने केही बताउँदैन, र स्पष्ट ब्लक साँघुरो अनुमतिलाई जित्छ।
नियम सटीक सुनिन्छ: निजी प्रोफाइलमा स्थानीय ट्राफिक र सार्वजनिकमा मात्र VPN ट्राफिकलाई अनुमति दिनु। तर त्यस्तो होइन, किनकि नेटवर्क प्रोफाइलले कुन फायरवाल नियम समूह लागू हुन्छ छान्छ र प्याकेट कुन एडाप्टरले बोक्यो भन्ने केही बताउँदैन। प्रोफाइलको नामलाई मार्गको आवश्यकता मान्नु त्यही गल्ती हो जसले सीमित इग्रेस डिजाइनलाई पूरा नभए पनि पूरा देखाउँछ।
पहिले प्रवाहहरू लेख्नुहोस्, त्यसपछि प्रत्येकलाई साँच्चै लागू गर्न सक्ने संयन्त्र कुन हो निर्णय गर्नुहोस्। त्यही प्रवाह सूची अर्को नियम परिवर्तनसम्म टिक्ने एकमात्र कृति हो।
श्रेणीले नियम छान्छ, मार्ग होइन
जब Windows ले नेटवर्कलाई सार्वजनिक वा निजी वर्गीकृत गर्छ, फायरवालले त्यो प्रोफाइलका लागि कन्फिगर गरिएको नियम समूह लागू गर्छ। वर्गीकरण एडाप्टर जोडिएको नेटवर्कलाई पछ्याउँछ, र नियम समूहले त्यसमा के अनुमति छ निर्णय गर्छ। यी तथ्यमध्ये कुनै पनि अनुप्रयोगको ट्राफिकले टनेल प्रयोग गर्यो वा गरेन भन्नेमा निर्भर छैन। यही स्वतन्त्रता नै पूरै कठिनाइ हो।
मार्गको छनोट राउटिङले गर्छ, इन्टरफेस मेट्रिक र टनेलले स्थापना गर्ने प्रिफिक्समार्फत। त्यसैले प्रोफाइल सार्वजनिक भनी लेबल हुन सक्छ, जबकि अनुप्रयोगको जडान भौतिक मार्ग लिन्छ, र फायरवालले तैपनि सार्वजनिक नियम समूह लागू भएको जनाउँछ।
त्यसैले प्रोफाइलसम्म सीमित नियमको अर्थ टनेल मात्र हुन सक्दैन। यी दुई गुण फरक घटकले निर्णय गर्छन् र एउटाले अर्कोको ठाउँ लिन सक्दैन।
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
स्पष्ट ब्लक साँघुरो अनुमतिभन्दा माथि हुन्छ
Microsoft को फायरवाल नियम मार्गदर्शनले पूर्वनिर्धारित ब्लक कार्यको अनुमति-अपवाद र अनुमतिसँग बाझिने स्पष्ट ब्लकबीच भिन्नता गर्छ। स्पष्ट ब्लकले त्यो द्वन्द्व जित्छ, र आउटबाउन्ड नियमले पनि त्यही प्राथमिकता पालन गर्छ।
त्यसैले सबै कुरा ब्लक गर्ने नियम थपेर त्यसको माथि राखिएको साँघुरो अनुमतिमा भर पर्ने लोकप्रिय तरिकाले यसका लेखकले अपेक्षा गरेको काम गर्दैन। Windows Firewall प्रशासकले तोकेको नियम क्रमले द्वन्द्व समाधान गर्दैन। ब्लक सिधै लागू हुन्छ, र जोडिने अनुप्रयोगले समय समाप्त भएको जनाउँछ। अपवादजस्तो देखिने नियम कहिल्यै खेलमा थिएन।
समर्थित स्वरूप स्वीकृत अनुमति नियमसहितको पूर्वनिर्धारित अस्वीकृति नीति हो, जहाँ प्रत्येक अनुमतिले कार्यक्रम, सेवा वा गन्तव्यलाई समीक्षाका लागि पर्याप्त सटीक रूपमा नाम दिन्छ। त्यस्तो डिजाइन लेखापरीक्षणमा टिक्छ, किनकि प्रत्येक अपवाद देखिन्छ र तीमध्ये कुनै पनि सिर्जनाको क्रममा निर्भर छैन।
एकअर्कासँग बाझिने दुई नियम एक नियमभन्दा नराम्रा हुन्छन्, किनकि परिणामी व्यवहार एकै समयमा सही र अव्याख्येय हुन्छ।
आउटबाउन्ड नीतिलाई एउटै मालिक दिनुहोस्
समर्थित VPN क्लाइन्टले पहिले नै आफ्नै ब्लकिङ व्यवहार र आफ्नै एन्डप्वाइन्ट अपवाद राख्छ। समन्वय नगरिएका म्यानुअल नियम थप्दा त्यो क्लाइन्ट सेटअपका लागि आवश्यक टनेलबाहिर रहन सक्छ, वा कसैले नदेखेको दोस्रो मार्ग खुला रहन सक्छ।
नियम लेख्नुअघि आउटबाउन्ड नीति कसको हो निर्णय गर्नुहोस्: क्लाइन्टको आफ्नै कन्फिगरेसन, व्यवस्थापित फायरवाल नीति, वा मालिकसहितको अभिलेखित स्थानीय अपवाद सूची। त्यसपछि केही जोडिनुसम्म प्रयोगहरू थुपार्नुको सट्टा तहहरू मिलाउनुहोस्। नामित मालिक नै दुई तह असहमत हुँदा सोधिने व्यक्ति हो।
केही परिवर्तन गर्नुअघि पुनःप्राप्ति च्यानल सुरक्षित राख्नुहोस्। आफ्नै व्यवस्थापन मार्गबाट बाहिर ताल्चा लगाइएको टाढाको मेसिन बन्द गर्दै गरेको नीति अन्तरभन्दा नराम्रो नतिजा हो। पुनःप्राप्ति नियम अग्रिम लेखिएको हुँदा न्यायोचित ठहराउन सजिलो हुन्छ, र कसैलाई नमन पर्ने घडीमा परिवर्तन बिग्रँदा भेटाउन पनि सजिलो हुन्छ।
लेबल पढ्नुको सट्टा चार नतिजा परीक्षण गर्नुहोस्
नीति जति धेरै केस छुट्याउँछ त्यति नै राम्रो हुन्छ, त्यसैले प्रोफाइल लेबललाई नतिजा नभई सुरुवात बिन्दु मान्नुहोस्। चार नतिजाले यो काम गर्छ कि भन्ने बताउँछन्: अभीष्ट LAN अनुरोध सफल हुन्छ, समेटिएको इन्टरनेट अनुरोध सफल हुन्छ, निषेधित प्रत्यक्ष अनुरोध असफल हुन्छ, र टनेल असफलताको केस चुपचाप पछि नहटी डिजाइनअनुसार व्यवहार गर्छ। चारै नतिजा नियम परिवर्तनको छेउमा लेख्नुहोस्। चार नामित केस भएको परीक्षण योजना हरेक पटक चलाउन पर्याप्त छोटो र ठूलो स्वरमा असफल हुन पर्याप्त विशिष्ट हुन्छ।
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
पहिलो आदेशले प्रत्येक जोडिएको नेटवर्क कसरी वर्गीकृत छ देखाउँछ, जुन प्रायः नियम लेख्ने व्यक्तिले अनुमान गरेको हुँदैन। दोस्रोले प्रत्येक प्रोफाइलको पूर्वनिर्धारित कार्य देखाउँछ, र तेस्रोले सक्षम आउटबाउन्ड ब्लक सूचीबद्ध गर्छ, जसमा चुपचाप साँघुरो अनुमति रद्द गर्नेहरू पनि छन्।
नेटवर्क परिवर्तनपछि चारै केस फेरि चलाउनुहोस्, किनकि मेसिन अर्को नेटवर्कमा जोडिँदा प्रोफाइल पुनः वर्गीकृत हुन सक्छ। मिल्ने प्रोफाइल लेबल मार्ग तपाईंले चाहेको थियो भन्ने प्रमाण होइन।