ਫਾਇਰਵਾਲ ਪ੍ਰੋਫਾਈਲ ਬਨਾਮ VPN ਈਗ੍ਰੈਸ: ਜਨਤਕ ਕਿਉਂ ਮਾਰਗ ਨਹੀਂ
ਫਾਇਰਵਾਲ ਪ੍ਰੋਫਾਈਲ ਚੁਣਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਨਿਯਮ ਸਮੂਹ ਲਾਗੂ ਹੁੰਦਾ ਹੈ। ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਪੈਕਟ ਕਿਹੜੇ ਇੰਟਰਫੇਸ ਨੇ ਲਿਜਾਇਆ, ਅਤੇ ਸਪਸ਼ਟ ਬਲਾਕ ਸੰਕਰੀ ਆਗਿਆ ਨੂੰ ਹਰਾਉਂਦਾ ਹੈ।
ਨਿਯਮ ਸਟੀਕ ਸੁਣਾਈ ਦਿੰਦਾ ਹੈ: ਨਿੱਜੀ ਪ੍ਰੋਫਾਈਲ ਤੇ ਸਥਾਨਕ ਟ੍ਰੈਫਿਕ ਅਤੇ ਜਨਤਕ ਤੇ ਸਿਰਫ਼ VPN ਟ੍ਰੈਫਿਕ ਦੀ ਆਗਿਆ ਦਿਓ। ਪਰ ਅਜਿਹਾ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਨੈੱਟਵਰਕ ਪ੍ਰੋਫਾਈਲ ਚੁਣਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਫਾਇਰਵਾਲ ਨਿਯਮ ਸਮੂਹ ਲਾਗੂ ਹੁੰਦਾ ਹੈ ਅਤੇ ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਕਿਹੜੇ ਅਡੈਪਟਰ ਨੇ ਪੈਕਟ ਲਿਜਾਇਆ। ਪ੍ਰੋਫਾਈਲ ਦੇ ਨਾਂ ਨੂੰ ਮਾਰਗ ਦੀ ਲੋੜ ਮੰਨਣਾ ਉਹੀ ਗਲਤੀ ਹੈ ਜਿਸ ਕਾਰਨ ਸੀਮਤ ਈਗ੍ਰੈਸ ਡਿਜ਼ਾਈਨ ਪੂਰਾ ਨਾ ਹੁੰਦਿਆਂ ਵੀ ਪੂਰਾ ਦਿਸਦਾ ਹੈ।
ਪਹਿਲਾਂ ਪ੍ਰਵਾਹ ਲਿਖੋ, ਫਿਰ ਤੈਅ ਕਰੋ ਕਿ ਕਿਹੜਾ ਜ਼ਰੀਆ ਹਰ ਇੱਕ ਨੂੰ ਸੱਚਮੁੱਚ ਲਾਗੂ ਕਰ ਸਕਦਾ ਹੈ। ਉਹੀ ਪ੍ਰਵਾਹ ਸੂਚੀ ਇੱਕੋ-ਇੱਕ ਚੀਜ਼ ਹੈ ਜੋ ਅਗਲੀ ਨਿਯਮ ਤਬਦੀਲੀ ਤੱਕ ਬਚਦੀ ਹੈ।
ਸ਼੍ਰੇਣੀ ਨਿਯਮ ਚੁਣਦੀ ਹੈ, ਮਾਰਗ ਨਹੀਂ
ਜਦੋਂ Windows ਕਿਸੇ ਨੈੱਟਵਰਕ ਨੂੰ ਜਨਤਕ ਜਾਂ ਨਿੱਜੀ ਵਰਗੀਕ੍ਰਿਤ ਕਰਦਾ ਹੈ, ਫਾਇਰਵਾਲ ਉਸ ਪ੍ਰੋਫਾਈਲ ਲਈ ਸੰਰਚਿਤ ਨਿਯਮ ਸਮੂਹ ਲਾਗੂ ਕਰਦਾ ਹੈ। ਵਰਗੀਕਰਨ ਉਸ ਨੈੱਟਵਰਕ ਦੀ ਪਾਲਣਾ ਕਰਦਾ ਹੈ ਜਿਸ ਨਾਲ ਅਡੈਪਟਰ ਜੁੜਿਆ, ਅਤੇ ਨਿਯਮ ਸਮੂਹ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਉਸ ਤੇ ਕੀ ਮਨਜ਼ੂਰ ਹੈ। ਇਨ੍ਹਾਂ ਤੱਥਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਇਸ ਗੱਲ ਤੇ ਨਿਰਭਰ ਨਹੀਂ ਕਿ ਕਿਸੇ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਟ੍ਰੈਫਿਕ ਨੇ ਟਨਲ ਵਰਤੀ ਜਾਂ ਨਹੀਂ। ਇਹੀ ਆਜ਼ਾਦੀ ਪੂਰੀ ਮੁਸ਼ਕਲ ਹੈ।
ਮਾਰਗ ਦੀ ਚੋਣ ਰੂਟਿੰਗ ਕਰਦੀ ਹੈ, ਇੰਟਰਫੇਸ ਮੈਟ੍ਰਿਕ ਅਤੇ ਉਸ ਪ੍ਰੀਫਿਕਸ ਰਾਹੀਂ ਜੋ ਟਨਲ ਸਥਾਪਿਤ ਕਰਦੀ ਹੈ। ਇਸ ਲਈ ਪ੍ਰੋਫਾਈਲ ਜਨਤਕ ਵਜੋਂ ਲੇਬਲ ਹੋ ਸਕਦਾ ਹੈ ਜਦਕਿ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਕਨੈਕਸ਼ਨ ਭੌਤਿਕ ਮਾਰਗ ਲੈਂਦਾ ਹੈ, ਅਤੇ ਫਾਇਰਵਾਲ ਫਿਰ ਵੀ ਦੱਸੇਗਾ ਕਿ ਜਨਤਕ ਨਿਯਮ ਸਮੂਹ ਲਾਗੂ ਹੋਇਆ।
ਇਸ ਲਈ ਪ੍ਰੋਫਾਈਲ ਤੱਕ ਸੀਮਤ ਨਿਯਮ ਦਾ ਅਰਥ ਸਿਰਫ਼-ਟਨਲ ਨਹੀਂ ਹੋ ਸਕਦਾ। ਦੋਵੇਂ ਗੁਣ ਵੱਖਰੇ ਹਿੱਸੇ ਤੈਅ ਕਰਦੇ ਹਨ ਅਤੇ ਇੱਕ ਦੂਜੇ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈ ਸਕਦਾ।
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
ਸਪਸ਼ਟ ਬਲਾਕ ਸੰਕਰੀ ਆਗਿਆ ਤੋਂ ਉੱਤੇ ਹੈ
Microsoft ਦੀ ਫਾਇਰਵਾਲ ਨਿਯਮ ਗਾਈਡ ਡਿਫਾਲਟ ਬਲਾਕ ਕਾਰਵਾਈ ਦੇ ਅਪਵਾਦ ਵਜੋਂ ਆਗਿਆ ਅਤੇ ਆਗਿਆ ਨਾਲ ਟਕਰਾਉਂਦੇ ਸਪਸ਼ਟ ਬਲਾਕ ਵਿੱਚ ਫ਼ਰਕ ਕਰਦੀ ਹੈ। ਸਪਸ਼ਟ ਬਲਾਕ ਉਸ ਟਕਰਾਅ ਵਿੱਚ ਜਿੱਤਦੇ ਹਨ, ਅਤੇ ਆਊਟਬਾਊਂਡ ਨਿਯਮ ਵੀ ਉਹੀ ਤਰਜੀਹ ਮੰਨਦੇ ਹਨ।
ਇਸ ਲਈ ਸਭ ਕੁਝ ਬਲਾਕ ਕਰਨ ਵਾਲਾ ਨਿਯਮ ਜੋੜ ਕੇ ਉਸ ਉੱਤੇ ਰੱਖੀ ਸੰਕਰੀ ਆਗਿਆ ਤੇ ਭਰੋਸਾ ਕਰਨ ਦਾ ਪ੍ਰਸਿੱਧ ਤਰੀਕਾ ਉਹ ਨਹੀਂ ਕਰਦਾ ਜਿਸ ਦੀ ਇਸ ਦਾ ਲੇਖਕ ਉਮੀਦ ਕਰਦਾ ਹੈ। Windows Firewall ਪ੍ਰਸ਼ਾਸਕ ਵੱਲੋਂ ਦਿੱਤੇ ਨਿਯਮ ਕ੍ਰਮ ਨਾਲ ਟਕਰਾਅ ਨਹੀਂ ਸੁਲਝਾਉਂਦਾ। ਬਲਾਕ ਸਿੱਧਾ ਲਾਗੂ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਜੁੜਨ ਵਾਲੀ ਐਪਲੀਕੇਸ਼ਨ ਸਮਾਂ ਸਮਾਪਤੀ ਦੱਸਦੀ ਹੈ। ਅਪਵਾਦ ਵਰਗਾ ਦਿਸਣ ਵਾਲਾ ਨਿਯਮ ਕਦੇ ਖੇਡ ਵਿੱਚ ਨਹੀਂ ਸੀ।
ਸਮਰਥਿਤ ਰੂਪ ਮਨਜ਼ੂਰ ਆਗਿਆ ਨਿਯਮਾਂ ਵਾਲੀ ਡਿਫਾਲਟ-ਇਨਕਾਰ ਨੀਤੀ ਹੈ, ਜਿੱਥੇ ਹਰ ਆਗਿਆ ਪ੍ਰੋਗਰਾਮ, ਸੇਵਾ ਜਾਂ ਮੰਜ਼ਿਲ ਦਾ ਨਾਂ ਸਮੀਖਿਆ ਲਈ ਕਾਫ਼ੀ ਸਟੀਕਤਾ ਨਾਲ ਦਿੰਦੀ ਹੈ। ਉਹ ਡਿਜ਼ਾਈਨ ਆਡਿਟ ਵਿੱਚ ਟਿਕਦਾ ਹੈ, ਕਿਉਂਕਿ ਹਰ ਅਪਵਾਦ ਦਿਸਦਾ ਹੈ ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਬਣਨ ਦੇ ਕ੍ਰਮ ਤੇ ਨਿਰਭਰ ਨਹੀਂ।
ਇੱਕ-ਦੂਜੇ ਦਾ ਵਿਰੋਧ ਕਰਨ ਵਾਲੇ ਦੋ ਨਿਯਮ ਇੱਕ ਨਿਯਮ ਨਾਲੋਂ ਮਾੜੇ ਹਨ, ਕਿਉਂਕਿ ਨਤੀਜਾ ਵਿਵਹਾਰ ਇੱਕੋ ਸਮੇਂ ਸਹੀ ਅਤੇ ਵਿਆਖਿਆ ਤੋਂ ਬਾਹਰ ਹੁੰਦਾ ਹੈ।
ਆਊਟਬਾਊਂਡ ਨੀਤੀ ਨੂੰ ਇੱਕ ਹੀ ਮਾਲਕ ਦਿਓ
ਸਮਰਥਿਤ VPN ਕਲਾਇੰਟ ਪਹਿਲਾਂ ਹੀ ਆਪਣਾ ਬਲਾਕਿੰਗ ਵਿਵਹਾਰ ਅਤੇ ਆਪਣੇ ਐਂਡਪੌਇੰਟ ਅਪਵਾਦ ਰੱਖਦਾ ਹੈ। ਬਿਨਾਂ ਤਾਲਮੇਲ ਦੇ ਮੈਨੁਅਲ ਨਿਯਮ ਜੋੜਨ ਨਾਲ ਉਹ ਕਲਾਇੰਟ ਸੈਟਅਪ ਲਈ ਲੋੜੀਂਦੀ ਟਨਲ ਤੋਂ ਬਾਹਰ ਰਹਿ ਸਕਦਾ ਹੈ, ਜਾਂ ਕਿਸੇ ਦੇ ਧਿਆਨ ਵਿੱਚ ਨਾ ਆਇਆ ਦੂਜਾ ਮਾਰਗ ਖੁੱਲ੍ਹਾ ਰਹਿ ਸਕਦਾ ਹੈ।
ਨਿਯਮ ਲਿਖਣ ਤੋਂ ਪਹਿਲਾਂ ਤੈਅ ਕਰੋ ਕਿ ਆਊਟਬਾਊਂਡ ਨੀਤੀ ਕਿਸ ਦੀ ਹੈ: ਕਲਾਇੰਟ ਦੀ ਆਪਣੀ ਸੰਰਚਨਾ, ਪ੍ਰਬੰਧਿਤ ਫਾਇਰਵਾਲ ਨੀਤੀ, ਜਾਂ ਮਾਲਕ ਸਮੇਤ ਦਸਤਾਵੇਜ਼ੀ ਸਥਾਨਕ ਅਪਵਾਦ ਸੂਚੀ। ਫਿਰ ਕੁਝ ਜੁੜਨ ਤੱਕ ਪ੍ਰਯੋਗ ਢੇਰੀ ਕਰਨ ਦੀ ਥਾਂ ਪਰਤਾਂ ਨੂੰ ਮਿਲਾਓ। ਨਾਮਜ਼ਦ ਮਾਲਕ ਉਹੀ ਵਿਅਕਤੀ ਹੈ ਜਿਸ ਨੂੰ ਦੋ ਪਰਤਾਂ ਦੇ ਅਸਹਿਮਤ ਹੋਣ ਤੇ ਪੁੱਛਿਆ ਜਾਂਦਾ ਹੈ।
ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਬਹਾਲੀ ਚੈਨਲ ਸੰਭਾਲੋ। ਆਪਣੇ ਹੀ ਪ੍ਰਬੰਧਨ ਮਾਰਗ ਤੋਂ ਬਾਹਰ ਤਾਲਾ ਲੱਗੀ ਦੂਰ ਦੀ ਮਸ਼ੀਨ ਉਸ ਨੀਤੀ ਪਾੜੇ ਨਾਲੋਂ ਮਾੜਾ ਨਤੀਜਾ ਹੈ ਜੋ ਤੁਸੀਂ ਬੰਦ ਕਰ ਰਹੇ ਸੀ। ਬਹਾਲੀ ਨਿਯਮ ਪਹਿਲਾਂ ਲਿਖਿਆ ਹੋਣ ਤੇ ਸਹੀ ਠਹਿਰਾਉਣਾ ਸੌਖਾ ਹੈ, ਅਤੇ ਜਦੋਂ ਕਿਸੇ ਨੂੰ ਵੀ ਪਸੰਦ ਨਾ ਆਉਣ ਵਾਲੇ ਸਮੇਂ ਤਬਦੀਲੀ ਵਿਗੜੇ ਤਾਂ ਲੱਭਣਾ ਵੀ ਸੌਖਾ ਹੈ।
ਲੇਬਲ ਪੜ੍ਹਨ ਦੀ ਥਾਂ ਚਾਰ ਨਤੀਜੇ ਪਰਖੋ
ਨੀਤੀ ਉੱਨੀ ਹੀ ਚੰਗੀ ਹੈ ਜਿੰਨੇ ਕੇਸ ਉਹ ਵੱਖ ਕਰਦੀ ਹੈ, ਇਸ ਲਈ ਪ੍ਰੋਫਾਈਲ ਲੇਬਲ ਨੂੰ ਨਤੀਜਾ ਨਹੀਂ, ਸ਼ੁਰੂਆਤੀ ਬਿੰਦੂ ਮੰਨੋ। ਚਾਰ ਨਤੀਜੇ ਦੱਸਦੇ ਹਨ ਕਿ ਇਹ ਕੰਮ ਕਰਦੀ ਹੈ ਜਾਂ ਨਹੀਂ: ਇੱਛਤ LAN ਬੇਨਤੀ ਸਫਲ ਹੁੰਦੀ ਹੈ, ਸ਼ਾਮਲ ਇੰਟਰਨੈੱਟ ਬੇਨਤੀ ਸਫਲ ਹੁੰਦੀ ਹੈ, ਵਰਜਿਤ ਸਿੱਧੀ ਬੇਨਤੀ ਫੇਲ੍ਹ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਟਨਲ ਫੇਲ੍ਹਤਾ ਦਾ ਕੇਸ ਚੁੱਪਚਾਪ ਪਿੱਛੇ ਹਟਣ ਦੀ ਥਾਂ ਡਿਜ਼ਾਈਨ ਅਨੁਸਾਰ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ। ਚਾਰੇ ਨਤੀਜੇ ਨਿਯਮ ਤਬਦੀਲੀ ਦੇ ਕੋਲ ਲਿਖੋ। ਚਾਰ ਨਾਮਜ਼ਦ ਕੇਸਾਂ ਵਾਲੀ ਪਰਖ ਯੋਜਨਾ ਹਰ ਵਾਰ ਚਲਾਉਣ ਲਈ ਕਾਫ਼ੀ ਛੋਟੀ ਅਤੇ ਉੱਚੀ ਆਵਾਜ਼ ਵਿੱਚ ਫੇਲ੍ਹ ਹੋਣ ਲਈ ਕਾਫ਼ੀ ਖ਼ਾਸ ਹੈ।
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
ਪਹਿਲਾ ਕਮਾਂਡ ਦੱਸਦਾ ਹੈ ਕਿ ਹਰ ਜੁੜਿਆ ਨੈੱਟਵਰਕ ਕਿਵੇਂ ਵਰਗੀਕ੍ਰਿਤ ਹੈ, ਜੋ ਅਕਸਰ ਉਹ ਨਹੀਂ ਹੁੰਦਾ ਜੋ ਨਿਯਮ ਲਿਖਣ ਵਾਲੇ ਨੇ ਮੰਨਿਆ ਸੀ। ਦੂਜਾ ਹਰ ਪ੍ਰੋਫਾਈਲ ਦੀ ਡਿਫਾਲਟ ਕਾਰਵਾਈ ਦੱਸਦਾ ਹੈ, ਅਤੇ ਤੀਜਾ ਸਮਰੱਥ ਆਊਟਬਾਊਂਡ ਬਲਾਕ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਜਿਨ੍ਹਾਂ ਵਿੱਚ ਉਹ ਵੀ ਹਨ ਜੋ ਚੁੱਪਚਾਪ ਸੰਕਰੀ ਆਗਿਆ ਰੱਦ ਕਰਨਗੇ।
ਨੈੱਟਵਰਕ ਤਬਦੀਲੀ ਤੋਂ ਬਾਅਦ ਚਾਰੇ ਕੇਸ ਦੁਬਾਰਾ ਚਲਾਓ, ਕਿਉਂਕਿ ਮਸ਼ੀਨ ਦੂਜੇ ਨੈੱਟਵਰਕ ਨਾਲ ਜੁੜਨ ਤੇ ਪ੍ਰੋਫਾਈਲ ਮੁੜ ਵਰਗੀਕ੍ਰਿਤ ਹੋ ਸਕਦਾ ਹੈ। ਮੇਲ ਖਾਂਦਾ ਪ੍ਰੋਫਾਈਲ ਲੇਬਲ ਇਸ ਗੱਲ ਦਾ ਸਬੂਤ ਨਹੀਂ ਕਿ ਮਾਰਗ ਉਹੀ ਸੀ ਜੋ ਤੁਸੀਂ ਚਾਹੁੰਦੇ ਸੀ।