د VPN سرور ته راغلې خبرتیا: د کتنې نقطه ولولئ

د VPN تر شا سرور خپلې عامه خدمت-ننوتنې ساتي، او خلک یې په موندلو دي. څه چې د خبرتیاوو په قطار کې راځي یوه موندنه نه ده بلکې درې ممکنې موندنې دي، او دوی بېل مانا لري. لومړی کار دا دی چې افشا شوې خدمت له افشا شوو ننوتلو توکو څخه بېل کړو.

د کتنې نقطې په ترتیب سره وګورئ. کله چې شواهد خپله ډله بدله کړي، ودروئ، ځکه چې بله مرحله بل پوښتنې ته ځواب وایي.

لومړۍ مرحله: نیول واقعاً څه ولیدل

د پاکټ نیول هغه څه ثبتوي چې د لارې په خپله نقطه کې لیدل شوي وو. هغه نقطه کېدای شي د وروستي فلټر کولو پریکړې مخکې وي. نیول شوی پاکټ ثابتوي چې ټرافیک هلته ورسېد. دا د هغه څه په اړه چې وروسته پېښ شول هېڅ ثابتوي نه.

انټرفیس هم یاد کړئ. په عامه اډاپټر باندې نیول او د تونل دننه نیول بېلې رسېدنې نقطې بیانوي، او هغه خبرتیا چې غلطه نقطه یادوي غلطې پایلې ته رسوي.

Windows د سټیک په څو طبقو کې فلټر کوي، نو هغه منظم ماډل چې نیولو وسیله په دوهمه طبقه او فایر وال په درېیمه طبقه کې وي، د ریښتیني محصول سره په مخامخ کېدو کې نه پاتې کېږي. د Windows Filtering Platform لنډیز د سټیک طبقو په اوږدو کې فلټر کول بیانوي، ځکه د کتنې ترتیب باید اټکل نه شي بلکې وټاکل شي.

دوهمه مرحله: د رد ثبت څه ثابتوي

د رد ثبت وایي چې د پالیسۍ پوله هغه پاکټ رد کړ. دا قوي شواهد دي. دا تنګ شواهد هم دي، ځکه چې یوه پوله کې یوه پریکړه پوښي. په سټیک کې بل هېڅ شی د دې له خوا نه بیانېږي.

د ټوپل او وخت-نښې پر بنسټ سره ورته کړئ. ورته سرچینه، ورته منزل، ورته پورټ، په ورته ثانیه کې. پرته لدې ورته والي، په بل لاګ کې ورته ښکارېدونکې پېښه یوازې بله پېښه ده، او د دوی جوړه کول هغه کیسه جوړوي چې هیڅوک یې دفاع نه شي کولای.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

بند پورټ او رد شوی پاکټ له بهر څخه ورته ښکاري او په دې دوو پایلو کې بشپړ بېل دي. هغه توپیر د سیمه ییز ثبت لوستلو ټول دلیل دی.

درېیمه مرحله: د تصدیق پېښه څه ثابتوي

د تصدیق پېښه وایي چې یوې برخې غوښتنه تر هغه ځایه پروسس کړه چې پایله ثبت کړي. د درېیو مرحلو څخه یوازې دا د هویت په اړه خبرې کوي، او د دې په اړه چې مخکې څو پاکټونه رسېدلي وو هېڅ نه وایي.

د پېښې ریښتینی شرایط ولولئ. د هغه حساب لپاره ناکامه ننوتنه چې شتون نه لري د سکن کولو شور دی. د ریښتیني حساب لپاره د باوري سرچینې سره ناکامه ننوتنه بله لومړیتوب ده. بریالۍ ناسته په بشپړ ډول بله پېښه-ډله ده.

د پروتوکولونو نومونه هم وګورئ. RPC او RDP بېل پورټونه لرونکي جلا خدمتونه دي. هغه کشف کوونکی چې یوازې یو ته ګوري بل نه پوښي. هغه وسایل چې د شبکې فعالیت لنډیز کوي تل نه وایي چې پېښه د دې دواړو له کومه راغلې.

یوه ورته کړل شوې نمونه له ډشبورډ څخه غوره ده

یوه مجازه ازموینه وټاکئ، په قصد یې چلوئ، او له سره تر پای پورې تعقیب کړئ: منزل پته او انټرفیس، ریښتینې سرچینه پته، خدمت پورټ، اغېزمن فایر وال پروفایل او قاعده، او ورته خدمت پایله. په هغه ځنځیر کې هر پورتنۍ نقشه یا کلاوډ فایر وال هم شامل کړئ، ځکه چې هلته اجازه ورکوونکې قاعده کولای شي منظمه سیمه ییزه قاعده باطله کړي.

بیا دوه مسؤلیتونه بېل کړئ. که اداره باید یوازې د VPN له لارې وي، دا په عامه او تونل دواړو لارو کې پلي کړئ او تصویب شوې بیا رغونه لاره وساتئ. د رد شوې هڅې څارنه د دې له پریکړې سره یو څه نه دي چې سرور باید څه ومني.

جغرافیایي قاعده یا بند شوی بې اړیکه پروتوکول د کتل شوې ننوتنې او هغې ته ورکړل شوې پریکړې موندلو بدیل نه دی. VPN هم نه دی: د وتلو ټرافیک تونل له لارې لېږل د راتلو اجازې په اړه هېڅ نه ثبتوي.