د فایر وال پروفایلونه او د VPN وتل: ولې عامه لاره نه ده
د فایر وال پروفایل ټاکي چې کوم د قواعدو ټولګه پلي کیږي. دا هېڅ نه وایي چې کوم انټرفیس پاکټ وړی، او ښکاره بندول له تنګې اجازې مخکې دی.
قاعده دقیقه ښکاري: په شخصي پروفایل کې محلي ټرافیک او په عامه کې یوازې VPN ټرافیک ته اجازه ورکړه. خو داسې نه ده، ځکه چې د شبکې پروفایل ټاکي چې کوم د فایر وال قواعدو ټولګه پلي کیږي او هېڅ نه وایي چې کوم اډاپټر پاکټ وړی. د پروفایل نوم د لارې غوښتنې په توګه ګڼل هغه تېروتنه ده چې محدود وتل ډیزاین بشپړ نه وي خو بشپړ ښکاري.
لومړی بهیرونه ولیکئ، بیا پرېکړه وکړئ چې کوم میکانیزم هر یو واقعاً پلي کولی شي. هغه بهیر لړلیک یوازینی توکی دی چې بل قواعدو بدلون ته ژوندی پاتې کیږي.
کټګوري قواعد ټاکي، نه لارې
کله چې Windows شبکه عامه یا شخصي ډلبندي کوي، فایر وال هغه د قواعدو ټولګه پلي کوي چې د دې پروفایل لپاره تنظیم شوې ده. ډلبندي هغه شبکه تعقیبوي چې اډاپټر ورسره یوځای شو، او د قواعدو ټولګه پرېکړه کوي چې پر هغې څه اجازه لري. له دې حقایقو هېڅ یو هم په دې تکیه نه دی چې آیا د یو اپلیکیشن ټرافیک تونل کارولی و. همدا خپلواکي ټوله ستونزه ده.
د لارې ټاکنه روټنګ کوي، د انټرفیس میټریک او هغه پریفیکس له لارې چې تونل نصبوي. نو پروفایل کولی شي عامه نښان ولري پداسې حال کې چې د اپلیکیشن اړیکه فزیکي لاره اخلي، او فایر وال به بیا هم راپور ورکړي چې عامه قواعد پلي شوې.
له همدې امله د پروفایل پورې محدوده قاعده نشي کولی یوازې تونل معنا ولري. دا دوه ځانګړنې جلا برخې پرېکړه کوي او یوه نشي کولی بله بدله کړي.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
ښکاره بندول له تنګې اجازې مخکې دی
د Microsoft د فایر وال قواعدو لارښود د ډیفالټ بندولو عمل څخه د اجازې استثنا او د اجازې سره د ټکر وړ ښکاره بندولو ترمنځ توپیر کوي. ښکاره بندول په دې ټکر کې ګټي، او وتونکي قواعد همدا لومړیتوب ته غاړه ږدي.
نو هغه مشهوره طریقه چې هر څه بندولو قاعده اضافه کړي او د هغې پورتنۍ تنګې اجازې ته تکیه وکړي، هغه نه کوي چې لیکوال یې تمه لري. Windows Firewall ټکر د اډمینسټرټر ټاکل شوي قواعدو ترتیب له مخې نه حل کوي. بندول یوازې پلي کیږي، او نښلېدونکی اپلیکیشن د وخت پای راپور کوي. هغه قاعده چې د استثنا په څېر ښکارېده هېڅکله په لوبه کې نه وه.
ملاتړ شوی بڼه د منظور شوو اجازې قواعدو سره د ډیفالټ-انکار پالیسي ده، چېرې چې هر اجازه یو پروګرام، خدمت یا منزل د بیاکتنې لپاره په کافي دقیق ډول نوموي. داسې ډیزاین پلټنې ته سر ټیټوي، ځکه چې هر استثنا ښکاره دی او هېڅ یو هم د جوړېدو ترتیب ته تکیه نه دی.
دوه قاعدې چې یو له بل سره ټکر لري له یوې قاعدې څخه بدترې دي، ځکه چې پایله رفتار په یو وخت کې سم او ناڅرګند دی.
وتونکې پالیسۍ ته یوازې یو مالک ورکړه
ملاتړ شوی VPN کلاینت لا دمخه خپل بندولو رفتار او خپل پایچنې استثناوې ساتي. د نه همغږو لاسي قواعدو اضافه کول کولی شي هغه کلاینت د تنظیم لپاره اړین تونل څخه بهر پرېږدي، یا دویمه لاره پرانیستې پرېږدي چې هیچا نه لیدلې.
د قواعدو له لیکلو مخکې پرېکړه وکړه چې وتونکې پالیسي د چا ده: د کلاینت خپله تنظیم، مدیریت شوې فایر وال پالیسي، یا د مالک سره مستنده محلي استثنا لړلیک. بیا لکېډې یو ځای کړه، د دې پرځای چې تجربې یو پر بل وګرځوې تر څو څه ونښلي. نومول شوی مالک هغه څوک هم دی چې دوه لکېډې سره نه جوړې شي نو ترې پوښتل کیږي.
له هر بدلون مخکې د بیا رغولو یوه لاره وساته. هغه لرې ماشین چې د خپل مدیریت لارې څخه بهر بند شوی وي، له هغې پالیسي تشې څخه بدتره پایله ده چې تاسو یې تړل. د بیا رغولو قاعده هغه وخت اسانه توجیه کیږي چې مخکې لیکل شوې وي، او هغه وخت اسانه موندل کیږي چې بدلون په یوه داسې ساعت کې خراب شي چې هیچا خوښ نه وي.
د لیبل لوستلو پرځای څلور پایلې وآزمویه
پالیسي هومره ښه ده چې څومره قضیې جلا کوي، نو د پروفایل لیبل د پایلې نه، د پیل نقطې په توګه وګڼه. څلور پایلې وایي چې کار کوي که نه: پلان شوې LAN غوښتنه بریالۍ کیږي، پوښل شوې انټرنیټ غوښتنه بریالۍ کیږي، منع شوې مستقیمه غوښتنه ناکامه کیږي، او د تونل ناکامۍ قضیه د ډیزاین مطابق چلند کوي نه دا چې په خاموشۍ شاته وګرځي. څلور پایلې د قواعدو بدلون ترڅنګ ولیکه. د څلورو نومول شوو قضیو ازموینه پلان هومره لنډ دی چې هره ورځ چل شي او هومره ځانګړی چې په لوړ غږ ناکام شي.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
لومړی کمانډ ښیي چې هره نښلول شوې شبکه څنګه ډلبندي شوې، کوم چې ډېری وخت هغه نه وي چې د قاعدې لیکونکي فرض کړی وي. دویم د هر پروفایل ډیفالټ عمل ښیي، او دریم فعالې وتونکې بندونې لړلیکوي، په شمول هغه چې په خاموشۍ به تنګه اجازه لغوه کړي.
د شبکې بدلون وروسته بیا څلور قضیې وچلوه، ځکه چې ماشین بلې شبکې ته ورځای شي نو پروفایل کېدای شي بیا ډلبندي شي. د پروفایل سره سمون خوړونکی لیبل دا ثبوت نه دی چې لاره هغه وه چې تاسو یې اراده لرله.