एक्लै Windows फायरवाल VPN बन्द गर्ने स्विचको रूपमा: टिक्छ?
इन्टरफेस-प्रकारका नियमहरूले भौतिक एडाप्टरहरू अवरुद्ध गर्न सक्छन्, तर तेस्रो-पक्षको सुरुङ प्रायः तारयुक्त देखिन्छ। वर्गीकरण, अन्तिम बिन्दुको मार्ग, त्यसपछि DNS जाँच्नुहोस्।
Windows फायरवाल एक्लै आपतकालीन स्विचको रूपमा काम गर्न सक्छ कि भनी सोध्नुहोस् र तपाईंले दुई आत्मविश्वासी र असंगत उत्तरहरू पाउनुहुनेछ। एउटा भन्छ इन्टरफेस-प्रकारको नियमले सारा काम गर्छ; अर्को भन्छ स्क्रिप्ट बिना यो चल्दैन। दुवैले एउटै क्रियाविधिको आधा वर्णन गर्छन्। फायरवालले अवरोध व्यक्त गर्न सक्छ, र नतिजा साँच्चै बन्द भएर असफल हुन्छ कि भन्ने तीन कुरामा निर्भर छ: Windows ले सुरुङ एडाप्टरलाई कसरी वर्गीकरण गर्छ, अन्तिम बिन्दुको अपवाद टिक्छ कि, र नाम-समाधान तथा IPv6 समेटिएका छन् कि। यीमध्ये कुनै एक गलत भयो भने मेसिन या त चुहिन्छ या सबै जडान गुमाउँछ।
तीन सर्तहरू, यही क्रममा
पहिलो सर्त वर्गीकरण हो, र यसले तपाईंले चाहेको नियम नै व्यक्त गर्न सकिन्छ कि भन्ने निर्धारण गर्छ। Windows फायरवालका नियमहरू इन्टरफेस-प्रकारले सीमित गर्न सकिन्छ: तारयुक्त, ताररहित वा टाढाको पहुँच। भौतिक प्रकारहरूमा बाहिर जाने ट्राफिक अवरुद्ध गरी सुरुङलाई अनुमति दिने नीति Windows ले सुरुङलाई टाढाको पहुँचको रूपमा मान्यता दिएमा मात्र काम गर्छ।
दोस्रो सर्त अन्तिम बिन्दुको अपवाद हो। कुनै पनि सुरुङ हुनुअघि क्लाइन्टले भौतिक एडाप्टरबाट VPN सर्भरमा पुग्नुपर्छ, त्यसैले त्यो एडाप्टरमा पूर्ण अवरोधले अवरोधलाई अनावश्यक बनाउने जडान नै रोक्छ। अपवादले सर्भर र यसको पोर्ट नाम दिनुपर्छ, र प्याकेट अझै नउठेको सुरुङमा होइन, भौतिक गेटवेबाट बाहिर जानुपर्छ।
तेस्रो कभरेज हो। IPv4 अवरुद्ध गरी IPv6 बिर्सने, वा अन्तिम बिन्दु खोजका लागि स्थानीय रिजोल्भरलाई अनुमति दिई त्यसैले हरेक अन्य खोजलाई पनि अनुमति दिने नियम-समूह स्विच रहेकै त्यही झ्यालमा खुला रूपमा असफल हुन्छ। यो डिजाइनको खाडल हो, फायरवालको खराबी होइन। यो त्यही खाडल हो जुन डेस्कमा हुने हरेक परीक्षणबाट बाँच्छ।
वर्गीकरण पहिलो ढोका हो
एउटा पनि नियम लेख्नुअघि Windows एडाप्टरहरूबारे के सोच्छ हेर्नुहोस्। Windows को मूल VPN जडान सामान्यतः टाढाको पहुँचको रूपमा देखिन्छ। आफ्नै भर्चुअल एडाप्टर बनाउने तेस्रो-पक्ष क्लाइन्ट प्रायः तारयुक्त देखिन्छ, अर्थात् तारयुक्त एडाप्टरमा सीमित अवरोधले सुरुङ पनि अवरुद्ध गर्छ।
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionतेस्रो आदेशले पूर्वनिर्धारित बाहिर जाने अवरोध पहिले नै लागू छ कि भन्ने बताउँछ, जसले डिजाइनको सम्पूर्ण आकार बदल्छ। पूर्वनिर्धारित पहिले नै अवरोध भएमा तपाईं अनुमति दिने आधारका अपवादहरू होइन, अनुमतिका नियमहरू लेख्दै हुनुहुन्छ, र त्यसबारे सोच्न धेरै सजिलो हुन्छ।
यदि तपाईंको सुरुङ एडाप्टरले तारयुक्त भनी जनाउँछ भने, बन्द-असफलता डिजाइनका लागि एक्लै फायरवाल उपयुक्त साधन होइन, र कति नियम मिलाए पनि त्यो बदलिँदैन। हरेक फोरम थ्रेडको दोस्रो राय सही हुने अवस्था यही हो।
अन्तिम बिन्दुको अपवादलाई नियमसँगै मार्ग पनि चाहिन्छ
वर्गीकरण चल्छ भनी मानौँ। अपवाद दुई टुक्राको हुन्छ, र ती फरक उपप्रणालीहरूमा बस्छन्। फायरवाल नियमले ट्राफिकलाई अनुमति दिन्छ; होस्ट मार्गले सुरुङ तल हुँदा त्यसलाई सही इन्टरफेसबाट बाहिर पठाउँछ।
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32मार्ग बिना अन्तिम बिन्दुको अपवाद पूर्वनिर्धारित मार्ग अझै भौतिक गेटवेतिर देखाउँदासम्म मात्र मद्दत गर्छ। क्लाइन्टले आफ्नै पूर्वनिर्धारित मार्ग स्थापना गरी त्यसपछि मर्छ भने, अनुमति पाएका प्याकेटहरूलाई जाने अर्थपूर्ण ठाउँ रहँदैन र जडान पुनः स्थापित गर्न सकिँदैन। त्यो असफलता बिग्रिएको क्लाइन्टजस्तो देखिन्छ र वास्तवमा हराएको मार्ग हो।
अपवादलाई क्लाइन्टले अनुमति दिएजति साँघुरो राख्नुहोस्। एउटा ठेगाना र एउटा पोर्ट समीक्षायोग्य छ; प्रदायकको सम्पूर्ण सञ्जाल ढाक्ने दायरा होइन। त्यो फराकिलो नियमले उही प्रदायकमा होस्ट गरिएका अरू सबैलाई पनि अनुमति दिन्छ, जुन सामान्यतः तपाईंले सोचेभन्दा बढी हुन्छ।
DNS र IPv6 त्यही ठाउँ हुन् जहाँ यो खुला रूपमा असफल हुन्छ
नाम-समाधान चिरपरिचित चुहावट हो। यदि अन्तिम बिन्दु होस्टनाम हो भने, सुरुङ हुनुअघि क्लाइन्टले त्यसलाई समाधान गर्नुपर्छ, अर्थात् भौतिक एडाप्टरलाई रिजोल्भरसम्म पुग्न अनुमति दिनुपर्छ। त्यही अनुमतिले सुरुङ तल हुँदा हरेक अन्य खोज बाहिर पठाउँछ, र एउटा खोजले तपाईं के हेर्न लाग्नुभएको थियो भन्ने खुलाउन पर्याप्त छ।
IPv6 दोस्रो हो। IPv4 का लागि लेखिएका नियमले अर्को परिवार ढाक्दैनन्, र धेरै क्लाइन्टहरूले IPv4 मार्ग मात्र स्थापना गर्छन्। त्यसैले मूल IPv6 जडान भएको मेसिनले IPv4 पक्ष कसिलो रूपमा अवरुद्ध हुँदा पनि इन्टरनेटसँग बोल्न जारी राख्न सक्छ, र स्विचले सधैं सफलताको जनाउँछ।
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
तेस्रो पङ्क्ति बेवास्ता गर्नुभन्दा बुझ्न योग्य छ। फायरवालले प्याकेटबारे निर्णय गर्छ, कुनै एप्लिकेसनले कुन इन्टरफेस प्रयोग गर्न भन्यो भन्नेबारे होइन, र स्पष्ट रूपमा बाइन्ड हुने प्रोग्राम नियन्त्रण गर्न गाह्रो हुन सक्छ। यो एप्लिकेसनको तल काम गर्ने क्लाइन्ट-पक्षीय स्विचको पक्षमा तर्क हो, थप नियमहरूको पक्षमा होइन।
केबल तानेर होइन, क्लाइन्ट रोकेर परीक्षण गर्नुहोस्
एकमात्र अर्थपूर्ण परीक्षण त्यही हो जसले तपाईंले बचाउ गर्नुभएको असफलताको नक्कल गर्छ। सेवा रोक्नुहोस्, प्रक्रिया मार्नुहोस्, वा क्लाइन्टले बनाएको एडाप्टर निष्क्रिय गर्नुहोस्, त्यसपछि इन्टरनेट र नामसम्म पुग्न प्रयास गर्नुहोस्:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443तीनै असफल हुनुपर्छ। पहिलो सफल भयो भने अवरोध लागू छैन; पहिलो असफल भएको ठाउँमा दोस्रो सफल भयो भने तपाईंसँग DNS चुहावट छ; तेस्रो सफल भयो भने IPv6 समेटिएको छैन। हरेक नतिजाले माथिका खाडलहरूमध्ये ठ्याक्कै एउटातिर सङ्केत गर्छ।
निद्रा र ब्युँतिएपछि परीक्षण दोहोर्याउनुहोस्, किनकि Windows ले सञ्जाल सार्वजनिक वा निजी हो भनी निर्णय गर्दा फायरवाल प्रोफाइल बदलिन सक्छ, र प्रोफाइलमा सीमित नियमहरूले त्यसलाई पछ्याउँछन्। डेस्कमा टिक्ने र रेलमा असफल हुने डिजाइन एक पटक परीक्षण गरिएको डिजाइन हो।
यदि वर्गीकरणको ढोका वा DNS को आवश्यकताले एक्लै-फायरवाल दृष्टिकोणलाई अव्यवहारिक बनाउँछ भने, क्लाइन्ट-पक्षीय स्विच नै इमानदार उत्तर हो। यदि सुरुङ यसको सट्टा राउटरमा अन्त्य हुन्छ भने, नीति राउटरकै हुनुपर्छ, किनकि त्यहाँ एउटा नियमले त्यसको पछाडिका हरेक उपकरण ढाक्छ र Windows ले एडाप्टरलाई के नाम दिन्छ भन्नेमा निर्भर गर्दैन।