د VPN د قطعېدو وروسته هم محافظتي سویچ ټرافیک بندوي

تونل لاړ، د شبکې آیکون نورمال ښکاري، او هیچا نه بارېږي۔ تاسو VPN قطع کړ، لرې کړل یې یا بیا بوټ کړ، او هغه بند چې باید د قطعېدو پر مهال مو ساتلی وای، لا هم ولاړ دی۔ د کلاینټ کړکۍ دا نشي تشریح کولی، ځکه چې تاسو بندوونکی کلاینټ نه دی: پریکړه ستاسو په نوم کرنل ته لیکل شوې او د لرې کولو لپاره هېڅ نه دی پاتې۔ په Windows کې هغه حالت د Windows Filtering Platform په دننه کې دی؛ په Linux کې دا د iptables یا nftables کې د قواعدو مجموعه ده، ډېری وخت د یوې عکس سره چې د بوټ پر مهال بیا تطبیقېږي۔ لاندې هغه ترتیب دی چې زه یې کاروم: حالت ولولئ، تر ټولو تنګ شی حذف کړئ چې نیمګړتیا تشریح کوي، بیا هغه څه ومومئ چې هغه په دوامداره توګه بیرته راولي۔

محافظتي سویچ د کرنل حالت دی، نه یو تنظیم

ډیسکټاپ کلاینټونه بندول د دې لارې پلي کوي چې د تونل څخه بهر ټرافیک ردوي فلټرونه اضافه کوي۔ په Windows کې هغه د connect-redirect او transport طبقو کې WFP فلټرونه دي، او ځینې یې دوامداره دي: دوی د Base Filtering Engine د پالیسۍ په ذخیره کې ثبتېږي او د ماشین د بوټ پر مهال، له هر VPN سافټویر څخه مخکې بحالېږي۔ کلاینټونه د پاکولو په وخت کې توپیر لري۔ ځینې یې د قطعېدو پر مهال فلټرونه لرې کوي، ځینې یوازې د پاک وتلو پر مهال، او ځینې یوازې هغه وخت چې لومړی سویچ بند شي۔ د بند فعالېدو پر مهال انسټال کړئ، یا پروسه ووژنئ، فلټرونه پاتې کېږي۔

په Linux کې معادل یې د وتنې په لاره کې drop یا reject قاعده ده، کله ناکله forwarding قاعده، کله ناکله بدله شوې chain پالیسي۔ هغه قواعد د هغو پروسې څخه زیات ژوند کوي چې اضافه یې کړي، ځکه چې دوی د کرنل حالت دی: کلاینټ ووژنئ، کریش یې کړئ یا برېښنا پرې کړئ — کرنل پاکټونه غورځوي، او د لغوه کولو لپاره هېڅ نه پاتې کېږي۔ د دوام پاکېټ دوهم دوام لایه اضافه کوي: د اوسني قواعدو سیسټم عکس اخلي او د بوټ پر مهال یې بحالوي، نو بل پیل له مخکې نصب شوي بند سره پیلېږي۔

له هر څه حذف کولو مخکې د WFP حالت ولولئ

Windows اړین وسایل لري۔ اداري پرامپټ چل کړئ او د پلیټفارم حالت ډمپ کړئ؛ ډمپ په کاري ډایرکټري کې د wfpstate.xml په توګه راځي۔

netsh wfp show state
netsh wfp show filters
Get-Service bfe

په XML کې د تللي پلورونکي نوم، Block عمل او طبقه ولټوئ۔ هغه فلټرونه چې عادي ټرافیک ماتوي د connect-redirect او transport په طبقو کې دي؛ د receive-accept طبقې فلټر معمولاً ستاسو لامل نه دی۔ که Base Filtering Engine هیڅ نه چلېږي، بل ځای وګورئ، ځکه چې بل هېڅ شی دا فلټرونه نشي پلي کولی۔

عادي فایر وال لید هم وګورئ، ځکه چې ډېری خلک یوازې یو له دوه څخه کتلو:

netsh advfirewall show allprofiles
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

کله چې جوړ شوي پروفایلونه فعال وي او هېڅ قاعده د ناکام ټرافیک سره سمون نه لري، بند د Windows Firewall نه، بلکې د دریمې ډلې له عرضه کوونکي څخه راځي۔ هغه توپیر مشخصوي چې د ترمیم لپاره کوم وسیله کاروئ۔

Linux قواعد هغه نحو کې ولولئ چې پرې حذف کوئ

iptables -S قواعد په هغه بڼه چاپوي چې اضافه شوي وو، نو پایلې کولای شي د حذف لپاره مستقیم بیا وکارول شي۔ iptables -L -v -n د پاکټ شمېرونکي اضافه کوي، او هغه شمېرونکي درته وایي چې قاعده ستاسو ناکامو غوښتنو سره واقعاً سمون لري که یوازې په chain کې ناسته ده۔

sudo iptables -S
sudo ip6tables -S
sudo iptables -t nat -S

یوازې قواعد نه، بلکې د chain پالیسۍ هم ولولئ: -P OUTPUT DROP ټرافیک بندوي حتی کله چې هېڅ قاعده سمون ونه لري۔ IPv6 جلا وګورئ، ځکه چې هغه کلاینټ چې دواړه کورنۍ نصبوي، کولای شي د IPv4 قواعدو له منځه تللو وروسته IPv6 بند پر ځای پرېږدي، او بیا نښه د دې پورې اړه لري چې اپلیکیشن کومه کورنۍ غوره ګڼي۔ چېرې چې nftables کارېږي، nft list ruleset هم چل کړئ؛ دواړه وسایل د مطابقت طبقې له لارې یو ځای ژوند کوي، او یوه لیست اړینه نه ده چې هر هغه قاعده ښکاره کړي چې پاکټ غورځولی شي۔

تر ټولو تنګ شی حذف کړئ چې نیمګړتیا تشریح کوي

په Windows کې لومړی ګام بیا هم د پلورونکي خپله لرې کولو لاره ده: انسټالر بیا چل کړئ او repair یا uninstall وکاروئ، یا د پاکولو وسیله چل کړئ که پلورونکی یې خپروي۔ پاتې خدمتونه او مهال ویش شوي دندې عامې دي، او هغه دنده چې د ننوتلو پر مهال کلاینټ پیلوي، په بل بوټ کې یې فلټرونه بیا نصبوي۔ هغه انسټال چې د کلاینټ د راجستر کیلي لوستلو پر مهال ناکامېږي، معمولاً مانا یې دا ده چې خدمت یا دنده لا هم نیولی دی، نه دا چې راجستر خراب دی۔

Get-ScheduledTask | Where-Object TaskName -like '*vpn*'
Get-Service | Where-Object DisplayName -like '*vpn*'

دوامداره فلټرونه وروستنی حل دی۔ دوی د HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent\Filter لاندې دي، هر فلټر لپاره یوه ارزښت چې د GUID له مخې کیلي شوی۔ لومړی کیلي صادره کړئ، هغه GUID ولیکئ چې لرې یې کوئ، یوازې هغه ارزښتونه حذف کړئ چې تللي کلاینټ پورې اړه لري، بیا بیا بوټ کړئ تر څو انجن خپل حالت بیا جوړ کړي۔ ټوله کیلي مه حذف کوئ او Base Filtering Engine مه غیرفعالوئ: Windows Firewall او Defender پرې تکیه کوي، او یو ګډوډی به په بدتره بدل کړئ۔

reg export "HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent" C:\temp\bfe-backup.reg

په Linux کې هغه کرښه واخلئ چې iptables -S چاپوي او -A په -D بدل کړئ۔ هغه یوه قاعده حذفول چې پیژندلې یې ده له chain خالي کولو غوره ده، ځکه چې ستاسو خپله پالیسي نه زیانمنېږي۔

sudo iptables -D OUTPUT -p udp -j REJECT

که drop د کاروونکي تعریف شوې chain کې وي، لومړی هغه chain ته ټوپ حذف کړئ او بیا chain د -X سره لرې کړئ۔ د chain پالیسي ACCEPT ته بدلول پداسې حال کې چې drop قواعد لا شته، یوازې هغو پاکټونو مرسته کوي چې د پالیسۍ پریکړې ته رسېږي۔ هر جدول خالي کول وروستنی حل دی: هغه قواعد هم لرې کوي چې بل لامل لپاره مو اضافه کړي، او د ufw فعالېدو سره خدمت ته دا احساس ورکوي چې هغه chainونه لري چې نور نه شته۔

هغه مالک ومومئ چې بیرته یې راولي

له سملاسي ترمیم وروسته هغه څه ولټوئ چې حالت به بحال کړي۔ په Linux کې وګورئ چې د دوام واحد فعال دی که نه، کلاینټ د ننوتلو پر مهال د فایر وال بحالولو تنظیم لري که نه، او د /etc لاندې خوندي شوې قاعده فایل شته که نه۔ په Windows کې د پیل ننوتنې، خدمتونه او مهال ویش شوې دندې بیا وګورئ، بیا بیا بوټ کړئ او د مخکې په څېر هماغه حکمونو سره حالت بیا ولولئ۔

که بند بیرته راغی، حذفول حل نه و؛ مالک یې حل و۔ ولیکئ کوم کلاینټ یا خدمت یې نصبوي او هلته ځانګړتیا غیرفعاله کړئ، د هر قطعېدو وروسته د فایر وال طبقې پر سر جګړې پر ځای۔

د یو ping نه، بلکې د ریښتیني ټرافیک سره تصدیق کړئ

د نوم حل، TCP اړیکه او نوی براوزر سیشن وآزموئ، بیا بیا بوټ کړئ او هماغه درې څېړنې تکرار کړئ۔ ping چې کار کوي پداسې حال کې چې HTTPS ناکامېږي، د شبکې نه بلکې د transport طبقې فلټر ته اشاره کوي؛ او هغه بند چې یوازې د بیا بوټ وروسته بیا ښکاري، هغه مالک ته اشاره کوي چې لا نه یې دی موندلی۔

شواهد وساتئ: صادر شوې BFE کیلي، یا د بدلون مخکې اخیستل شوې iptables -S پایله۔ مخکې له دې چې سم شوی یې وبولئ، هغه طبقه تصدیق کړئ چې شی مو ترې لرې کړ، هغه مالک چې بیا یې نصبولی شي، د یوې پاکې بیا بوټ وروسته حالت، او دا چې عادي براوزینګ د VPN پروسې پرته کار کوي۔ iptables(8) لارښود پاڼه د حذف او پالیسۍ سمه نحو لري که پاکول سکریپټوئ۔