ਸਿਰਫ਼ Windows ਫਾਇਰਵਾਲ VPN ਬੰਦ ਕਰਨ ਵਾਲੇ ਸਵਿੱਚ ਵਜੋਂ: ਟਿਕਦਾ ਹੈ?
ਇੰਟਰਫ਼ੇਸ ਕਿਸਮ ਦੇ ਨਿਯਮ ਭੌਤਿਕ ਅਡੈਪਟਰਾਂ ਨੂੰ ਬਲਾਕ ਕਰ ਸਕਦੇ ਹਨ, ਪਰ ਤੀਜੀ ਧਿਰ ਦੀ ਟਨਲ ਅਕਸਰ ਤਾਰ ਵਾਲੀ ਦਿਸਦੀ ਹੈ। ਵਰਗੀਕਰਨ, ਐਂਡਪੌਇੰਟ ਰੂਟ, ਫਿਰ DNS ਜਾਂਚੋ।
ਪੁੱਛੋ ਕਿ ਕੀ Windows ਫਾਇਰਵਾਲ ਇਕੱਲਾ ਐਮਰਜੈਂਸੀ ਸਵਿੱਚ ਵਜੋਂ ਕੰਮ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਤੁਹਾਨੂੰ ਦੋ ਭਰੋਸੇਵਾਨ ਤੇ ਅਸੰਗਤ ਜਵਾਬ ਮਿਲਣਗੇ। ਇੱਕ ਕਹਿੰਦਾ ਹੈ ਕਿ ਇੰਟਰਫ਼ੇਸ ਕਿਸਮ ਦਾ ਨਿਯਮ ਸਾਰਾ ਕੰਮ ਕਰਦਾ ਹੈ; ਦੂਜਾ ਕਹਿੰਦਾ ਹੈ ਕਿ ਸਕ੍ਰਿਪਟ ਤੋਂ ਬਿਨਾਂ ਇਹ ਨਹੀਂ ਚੱਲਦਾ। ਦੋਵੇਂ ਇੱਕੋ ਤੰਤਰ ਦਾ ਅੱਧਾ ਹਿੱਸਾ ਦੱਸਦੇ ਹਨ। ਫਾਇਰਵਾਲ ਬਲਾਕ ਪ੍ਰਗਟ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਨਤੀਜਾ ਸੱਚਮੁੱਚ ਬੰਦ ਹੋ ਕੇ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ ਤਿੰਨ ਗੱਲਾਂ ਉੱਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ: Windows ਟਨਲ ਅਡੈਪਟਰ ਦਾ ਵਰਗੀਕਰਨ ਕਿਵੇਂ ਕਰਦਾ ਹੈ, ਐਂਡਪੌਇੰਟ ਛੋਟ ਬਚਦੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਨਾਮ-ਹੱਲ ਤੇ IPv6 ਢਕੇ ਹੋਏ ਹਨ ਜਾਂ ਨਹੀਂ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਇੱਕ ਗਲਤ ਹੋਇਆ ਤਾਂ ਮਸ਼ੀਨ ਜਾਂ ਲੀਕ ਕਰੇਗੀ ਜਾਂ ਸਾਰਾ ਕਨੈਕਸ਼ਨ ਗੁਆ ਦੇਵੇਗੀ।
ਤਿੰਨ ਸ਼ਰਤਾਂ, ਇਸ ਕ੍ਰਮ ਵਿੱਚ
ਪਹਿਲੀ ਸ਼ਰਤ ਵਰਗੀਕਰਨ ਹੈ, ਅਤੇ ਇਹ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਤੁਸੀਂ ਜੋ ਨਿਯਮ ਚਾਹੁੰਦੇ ਹੋ ਉਹ ਬਿਲਕੁਲ ਪ੍ਰਗਟ ਹੋ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। Windows ਫਾਇਰਵਾਲ ਦੇ ਨਿਯਮ ਇੰਟਰਫ਼ੇਸ ਕਿਸਮ ਨਾਲ ਸੀਮਿਤ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ: ਤਾਰ ਵਾਲੇ, ਵਾਇਰਲੈੱਸ ਜਾਂ ਦੂਰਸਥ ਪਹੁੰਚ। ਜੋ ਨੀਤੀ ਭੌਤਿਕ ਕਿਸਮਾਂ ਉੱਤੇ ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਟ੍ਰੈਫਿਕ ਬਲਾਕ ਕਰਦੀ ਹੈ ਅਤੇ ਟਨਲ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਉਹ ਤਾਂ ਹੀ ਕੰਮ ਕਰਦੀ ਹੈ ਜੇ Windows ਟਨਲ ਨੂੰ ਦੂਰਸਥ ਪਹੁੰਚ ਵਜੋਂ ਮਾਨਤਾ ਦਿੰਦਾ ਹੈ।
ਦੂਜੀ ਸ਼ਰਤ ਐਂਡਪੌਇੰਟ ਛੋਟ ਹੈ। ਕਿਸੇ ਵੀ ਟਨਲ ਤੋਂ ਪਹਿਲਾਂ ਕਲਾਇੰਟ ਨੂੰ ਭੌਤਿਕ ਅਡੈਪਟਰ ਰਾਹੀਂ VPN ਸਰਵਰ ਤੱਕ ਪਹੁੰਚਣਾ ਪੈਂਦਾ ਹੈ, ਇਸ ਲਈ ਉਸ ਅਡੈਪਟਰ ਉੱਤੇ ਪੂਰਾ ਬਲਾਕ ਉਸੇ ਕਨੈਕਸ਼ਨ ਨੂੰ ਰੋਕਦਾ ਹੈ ਜੋ ਬਲਾਕ ਨੂੰ ਬੇਲੋੜਾ ਬਣਾ ਦੇਂਦਾ। ਛੋਟ ਵਿੱਚ ਸਰਵਰ ਅਤੇ ਉਸ ਦਾ ਪੋਰਟ ਨਾਮ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਪੈਕਟ ਨੂੰ ਹਾਲੇ ਨਾ ਚੜ੍ਹੀ ਟਨਲ ਵਿੱਚ ਨਹੀਂ, ਭੌਤਿਕ ਗੇਟਵੇ ਰਾਹੀਂ ਬਾਹਰ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।
ਤੀਜੀ ਕਵਰੇਜ ਹੈ। ਜੋ ਨਿਯਮ-ਸਮੂਹ IPv4 ਬਲਾਕ ਕਰਦਾ ਹੈ ਅਤੇ IPv6 ਭੁੱਲ ਜਾਂਦਾ ਹੈ, ਜਾਂ ਐਂਡਪੌਇੰਟ ਖੋਜ ਲਈ ਸਥਾਨਕ ਰਿਜ਼ੌਲਵਰ ਨੂੰ ਇਜਾਜ਼ਤ ਦੇ ਕੇ ਬਾਕੀ ਹਰ ਖੋਜ ਨੂੰ ਵੀ ਇਜਾਜ਼ਤ ਦੇਂਦਾ ਹੈ, ਉਹ ਠੀਕ ਉਸੇ ਖਿੜਕੀ ਵਿੱਚ ਖੁੱਲ੍ਹ ਕੇ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ ਜਿਸ ਲਈ ਸਵਿੱਚ ਮੌਜੂਦ ਹੈ। ਇਹ ਡਿਜ਼ਾਈਨ ਦੀ ਖਾਮੀ ਹੈ, ਫਾਇਰਵਾਲ ਦੀ ਖਰਾਬੀ ਨਹੀਂ। ਇਹ ਉਹੀ ਖਾਮੀ ਹੈ ਜੋ ਡੈਸਕ ਉੱਤੇ ਹਰ ਪਰਖ ਤੋਂ ਬਚ ਨਿਕਲਦੀ ਹੈ।
ਵਰਗੀਕਰਨ ਪਹਿਲਾ ਦਰਵਾਜ਼ਾ ਹੈ
ਇੱਕ ਵੀ ਨਿਯਮ ਲਿਖਣ ਤੋਂ ਪਹਿਲਾਂ ਵੇਖੋ ਕਿ Windows ਅਡੈਪਟਰਾਂ ਬਾਰੇ ਕੀ ਸੋਚਦਾ ਹੈ। Windows ਦਾ ਮੂਲ VPN ਕਨੈਕਸ਼ਨ ਆਮ ਤੌਰ ਉੱਤੇ ਦੂਰਸਥ ਪਹੁੰਚ ਵਜੋਂ ਦਿਸਦਾ ਹੈ। ਆਪਣਾ ਵਰਚੁਅਲ ਅਡੈਪਟਰ ਬਣਾਉਣ ਵਾਲਾ ਤੀਜੀ ਧਿਰ ਦਾ ਕਲਾਇੰਟ ਅਕਸਰ ਤਾਰ ਵਾਲਾ ਦਿਸਦਾ ਹੈ, ਭਾਵ ਤਾਰ ਵਾਲੇ ਅਡੈਪਟਰਾਂ ਤੱਕ ਸੀਮਿਤ ਬਲਾਕ ਟਨਲ ਨੂੰ ਵੀ ਬਲਾਕ ਕਰਦਾ ਹੈ।
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionਤੀਜਾ ਕਮਾਂਡ ਦੱਸਦਾ ਹੈ ਕਿ ਡਿਫ਼ਾਲਟ ਆਉਟਬਾਊਂਡ ਬਲਾਕ ਪਹਿਲਾਂ ਹੀ ਲਾਗੂ ਹੈ ਜਾਂ ਨਹੀਂ, ਜੋ ਡਿਜ਼ਾਈਨ ਦਾ ਸਾਰਾ ਰੂਪ ਬਦਲ ਦੇਂਦਾ ਹੈ। ਜੇ ਡਿਫ਼ਾਲਟ ਪਹਿਲਾਂ ਹੀ ਬਲਾਕ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਇਜਾਜ਼ਤ ਦੇਣ ਵਾਲੇ ਆਧਾਰ ਦੀਆਂ ਛੋਟਾਂ ਨਹੀਂ, ਸਗੋਂ ਇਜਾਜ਼ਤ ਦੇ ਨਿਯਮ ਲਿਖ ਰਹੇ ਹੋ, ਅਤੇ ਇਸ ਬਾਰੇ ਸੋਚਣਾ ਕਾਫ਼ੀ ਸੌਖਾ ਹੈ।
ਜੇ ਤੁਹਾਡਾ ਟਨਲ ਅਡੈਪਟਰ ਤਾਰ ਵਾਲਾ ਦੱਸਦਾ ਹੈ, ਤਾਂ ਬੰਦ-ਫੇਲ੍ਹ ਡਿਜ਼ਾਈਨ ਲਈ ਸਿਰਫ਼ ਫਾਇਰਵਾਲ ਸਹੀ ਸਾਧਨ ਨਹੀਂ, ਅਤੇ ਕਿੰਨੇ ਵੀ ਨਿਯਮ ਬਦਲੋ, ਇਹ ਨਹੀਂ ਬਦਲੇਗਾ। ਇਹ ਉਹੀ ਹਾਲਤ ਹੈ ਜਿੱਥੇ ਹਰ ਫੋਰਮ ਥ੍ਰੈਡ ਦੀ ਦੂਜੀ ਰਾਏ ਸਹੀ ਹੈ।
ਐਂਡਪੌਇੰਟ ਛੋਟ ਨੂੰ ਨਿਯਮ ਦੇ ਨਾਲ ਰਸਤਾ ਵੀ ਚਾਹੀਦਾ ਹੈ
ਮੰਨ ਲਓ ਵਰਗੀਕਰਨ ਕੰਮ ਕਰਦਾ ਹੈ। ਛੋਟ ਦੋ ਟੁਕੜਿਆਂ ਦੀ ਹੈ, ਅਤੇ ਉਹ ਵੱਖਰੇ ਉਪ-ਤੰਤਰਾਂ ਵਿੱਚ ਰਹਿੰਦੇ ਹਨ। ਫਾਇਰਵਾਲ ਨਿਯਮ ਟ੍ਰੈਫਿਕ ਦੀ ਇਜਾਜ਼ਤ ਦੇਂਦਾ ਹੈ; ਹੋਸਟ ਰਸਤਾ ਟਨਲ ਹੇਠਾਂ ਹੋਣ ਵੇਲੇ ਉਸਨੂੰ ਸਹੀ ਇੰਟਰਫ਼ੇਸ ਰਾਹੀਂ ਬਾਹਰ ਭੇਜਦਾ ਹੈ।
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32ਰਸਤੇ ਤੋਂ ਬਿਨਾਂ ਛੋਟ ਤਾਂ ਹੀ ਮਦਦ ਕਰਦੀ ਹੈ ਜਦੋਂ ਤੱਕ ਡਿਫ਼ਾਲਟ ਰਸਤਾ ਹਾਲੇ ਭੌਤਿਕ ਗੇਟਵੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। ਕਲਾਇੰਟ ਆਪਣਾ ਡਿਫ਼ਾਲਟ ਰਸਤਾ ਸਥਾਪਿਤ ਕਰਕੇ ਮਰ ਜਾਵੇ, ਤਾਂ ਇਜਾਜ਼ਤ ਵਾਲੇ ਪੈਕਟਾਂ ਲਈ ਜਾਣ ਦੀ ਕੋਈ ਅਰਥਪੂਰਨ ਥਾਂ ਨਹੀਂ ਰਹਿੰਦੀ ਅਤੇ ਕਨੈਕਸ਼ਨ ਮੁੜ ਸਥਾਪਿਤ ਨਹੀਂ ਹੋ ਸਕਦਾ। ਉਹ ਫੇਲ੍ਹ ਟੁੱਟੇ ਕਲਾਇੰਟ ਵਰਗੀ ਦਿਸਦੀ ਹੈ ਅਤੇ ਅਸਲ ਵਿੱਚ ਗੁੰਮ ਰਸਤਾ ਹੈ।
ਛੋਟ ਨੂੰ ਕਲਾਇੰਟ ਜਿੰਨਾ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਓਨਾ ਤੰਗ ਰੱਖੋ। ਇੱਕ ਪਤਾ ਅਤੇ ਇੱਕ ਪੋਰਟ ਸਮੀਖਿਆਯੋਗ ਹੈ; ਪ੍ਰਦਾਤਾ ਦਾ ਸਾਰਾ ਨੈੱਟਵਰਕ ਢਕਣ ਵਾਲੀ ਸੀਮਾ ਨਹੀਂ। ਉਹ ਵਿਸ਼ਾਲ ਨਿਯਮ ਉਸੇ ਪ੍ਰਦਾਤਾ ਕੋਲ ਹੋਸਟ ਹੋਈ ਬਾਕੀ ਹਰ ਚੀਜ਼ ਨੂੰ ਵੀ ਇਜਾਜ਼ਤ ਦੇਂਦਾ ਹੈ, ਜੋ ਆਮ ਤੌਰ ਉੱਤੇ ਤੁਹਾਡੇ ਇਰਾਦੇ ਤੋਂ ਵੱਧ ਹੁੰਦਾ ਹੈ।
DNS ਅਤੇ IPv6 ਉਹੀ ਥਾਵਾਂ ਹਨ ਜਿੱਥੇ ਇਹ ਖੁੱਲ੍ਹ ਕੇ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ
ਨਾਮ-ਹੱਲ ਆਮ ਲੀਕ ਹੈ। ਜੇ ਐਂਡਪੌਇੰਟ ਹੋਸਟਨਾਮ ਹੈ, ਤਾਂ ਟਨਲ ਤੋਂ ਪਹਿਲਾਂ ਕਲਾਇੰਟ ਨੂੰ ਇਸਨੂੰ ਹੱਲ ਕਰਨਾ ਪੈਂਦਾ ਹੈ, ਭਾਵ ਭੌਤਿਕ ਅਡੈਪਟਰ ਨੂੰ ਰਿਜ਼ੌਲਵਰ ਤੱਕ ਪਹੁੰਚਣ ਦੀ ਇਜਾਜ਼ਤ ਦੇਣੀ ਪੈਂਦੀ ਹੈ। ਉਹੀ ਇਜਾਜ਼ਤ ਟਨਲ ਹੇਠਾਂ ਹੋਣ ਵੇਲੇ ਹਰ ਹੋਰ ਖੋਜ ਨੂੰ ਬਾਹਰ ਜਾਣ ਦੇਂਦੀ ਹੈ, ਅਤੇ ਇੱਕ ਖੋਜ ਹੀ ਇਹ ਦੱਸਣ ਲਈ ਕਾਫ਼ੀ ਹੈ ਕਿ ਤੁਸੀਂ ਕੀ ਵੇਖਣ ਜਾ ਰਹੇ ਸੀ।
IPv6 ਦੂਜਾ ਹੈ। IPv4 ਲਈ ਲਿਖੇ ਨਿਯਮ ਦੂਜੇ ਪਰਿਵਾਰ ਨੂੰ ਨਹੀਂ ਢਕਦੇ, ਅਤੇ ਕਈ ਕਲਾਇੰਟ ਸਿਰਫ਼ IPv4 ਰਸਤੇ ਸਥਾਪਿਤ ਕਰਦੇ ਹਨ। ਇਸ ਲਈ ਮੂਲ IPv6 ਕਨੈਕਟੀਵਿਟੀ ਵਾਲੀ ਮਸ਼ੀਨ IPv4 ਪਾਸਾ ਪੱਕੇ ਤੌਰ ਉੱਤੇ ਬਲਾਕ ਹੋਣ ਦੇ ਬਾਵਜੂਦ ਇੰਟਰਨੈੱਟ ਨਾਲ ਗੱਲ ਜਾਰੀ ਰੱਖ ਸਕਦੀ ਹੈ, ਅਤੇ ਸਵਿੱਚ ਹਰ ਵੇਲੇ ਸਫਲਤਾ ਦੱਸਦਾ ਰਹਿੰਦਾ ਹੈ।
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
ਤੀਜੀ ਕਤਾਰ ਨੂੰ ਟਾਲਣ ਦੀ ਬਜਾਏ ਸਮਝਣਾ ਚਾਹੀਦਾ ਹੈ। ਫਾਇਰਵਾਲ ਪੈਕਟਾਂ ਬਾਰੇ ਫੈਸਲਾ ਕਰਦਾ ਹੈ, ਇਸ ਬਾਰੇ ਨਹੀਂ ਕਿ ਕਿਸੇ ਐਪਲੀਕੇਸ਼ਨ ਨੇ ਕਿਹੜਾ ਇੰਟਰਫ਼ੇਸ ਵਰਤਣਾ ਕਿਹਾ, ਅਤੇ ਸਪਸ਼ਟ ਤੌਰ ਉੱਤੇ ਬਾਈਂਡ ਹੋਣ ਵਾਲੇ ਪ੍ਰੋਗਰਾਮ ਨੂੰ ਕਾਬੂ ਵਿੱਚ ਰੱਖਣਾ ਔਖਾ ਹੋ ਸਕਦਾ ਹੈ। ਇਹ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਹੇਠਾਂ ਕੰਮ ਕਰਨ ਵਾਲੇ ਕਲਾਇੰਟ-ਪਾਸੇ ਸਵਿੱਚ ਦੇ ਹੱਕ ਵਿੱਚ ਦਲੀਲ ਹੈ, ਹੋਰ ਨਿਯਮਾਂ ਦੇ ਹੱਕ ਵਿੱਚ ਨਹੀਂ।
ਤਾਰ ਖਿੱਚ ਕੇ ਨਹੀਂ, ਕਲਾਇੰਟ ਰੋਕ ਕੇ ਪਰਖੋ
ਇੱਕੋ ਇੱਕ ਅਰਥਪੂਰਨ ਪਰਖ ਉਹੀ ਹੈ ਜੋ ਤੁਹਾਡੇ ਬਚਾਅ ਵਾਲੀ ਫੇਲ੍ਹ ਦੀ ਨਕਲ ਕਰਦੀ ਹੈ। ਸੇਵਾ ਰੋਕੋ, ਪ੍ਰੋਸੈਸ ਮਾਰੋ, ਜਾਂ ਕਲਾਇੰਟ ਵੱਲੋਂ ਬਣਾਇਆ ਅਡੈਪਟਰ ਬੰਦ ਕਰੋ, ਫਿਰ ਇੰਟਰਨੈੱਟ ਅਤੇ ਕਿਸੇ ਨਾਮ ਤੱਕ ਪਹੁੰਚਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੋ:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443ਤਿੰਨੇ ਫੇਲ੍ਹ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ। ਜੇ ਪਹਿਲਾ ਸਫਲ ਹੋਵੇ, ਤਾਂ ਬਲਾਕ ਲਾਗੂ ਨਹੀਂ; ਜੇ ਪਹਿਲਾ ਫੇਲ੍ਹ ਹੋਇਆ ਥਾਂ ਦੂਜਾ ਸਫਲ ਹੋਵੇ, ਤਾਂ ਤੁਹਾਡੇ ਕੋਲ DNS ਲੀਕ ਹੈ; ਜੇ ਤੀਜਾ ਸਫਲ ਹੋਵੇ, ਤਾਂ IPv6 ਢਕਿਆ ਨਹੀਂ। ਹਰ ਨਤੀਜਾ ਉੱਪਰ ਦੱਸੀਆਂ ਖਾਮੀਆਂ ਵਿੱਚੋਂ ਠੀਕ ਇੱਕ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ।
ਨੀਂਦ ਅਤੇ ਜਾਗਣ ਤੋਂ ਬਾਅਦ ਪਰਖ ਦੁਹਰਾਓ, ਕਿਉਂਕਿ Windows ਜਦੋਂ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਨੈੱਟਵਰਕ ਜਨਤਕ ਹੈ ਜਾਂ ਨਿੱਜੀ, ਤਾਂ ਫਾਇਰਵਾਲ ਪ੍ਰੋਫ਼ਾਈਲ ਬਦਲ ਸਕਦੀ ਹੈ, ਅਤੇ ਪ੍ਰੋਫ਼ਾਈਲ ਤੱਕ ਸੀਮਿਤ ਨਿਯਮ ਉਸਦਾ ਪਾਲਣ ਕਰਦੇ ਹਨ। ਜੋ ਡਿਜ਼ਾਈਨ ਡੈਸਕ ਉੱਤੇ ਟਿਕਦਾ ਹੈ ਅਤੇ ਰੇਲ ਵਿੱਚ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ, ਉਹ ਇੱਕ ਵਾਰ ਪਰਖਿਆ ਡਿਜ਼ਾਈਨ ਹੈ।
ਜੇ ਵਰਗੀਕਰਨ ਦਾ ਦਰਵਾਜ਼ਾ ਜਾਂ DNS ਦੀ ਲੋੜ ਸਿਰਫ਼-ਫਾਇਰਵਾਲ ਪਹੁੰਚ ਨੂੰ ਅਵਿਵਹਾਰਕ ਬਣਾਉਂਦੀ ਹੈ, ਤਾਂ ਕਲਾਇੰਟ-ਪਾਸੇ ਸਵਿੱਚ ਹੀ ਇਮਾਨਦਾਰ ਜਵਾਬ ਹੈ। ਜੇ ਟਨਲ ਇਸ ਦੀ ਬਜਾਏ ਰਾਊਟਰ ਉੱਤੇ ਖ਼ਤਮ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਨੀਤੀ ਰਾਊਟਰ ਦੀ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਕਿਉਂਕਿ ਉੱਥੇ ਇੱਕ ਨਿਯਮ ਇਸਦੇ ਪਿੱਛੇ ਦੇ ਹਰ ਯੰਤਰ ਨੂੰ ਢਕਦਾ ਹੈ ਅਤੇ ਇਸ ਉੱਤੇ ਨਿਰਭਰ ਨਹੀਂ ਕਿ Windows ਅਡੈਪਟਰ ਨੂੰ ਕੀ ਨਾਮ ਦਿੰਦਾ ਹੈ।