پینګ یوازې یوې خواته کار کوي: ولې Windows د سرور ایکو غورځوي

ستاسو کلاینټ سرور ته پینګ کوي، سرور کلاینټ ته پینګ نشي کولی، او تونل په دواړو جملو کې په ښکاره ډول پاکټونه وړي۔ توپیر په لاره کې نه دی، بلکې د هرې ازموینې په لومړي پاکټ کې دی: یو د هغه جریان ځواب دی چې Windows یې دمخه تعقیبوي، بل نوی راغلی غوښتنلیک دی چې هیڅ قاعدې نه دی منلی۔ همدا توپیر د یو لوري پینګ ډېری راپورونه تشریح کوي او مستقیم هغې قاعدې ته اشاره کوي چې باید یې لیکئ۔ په مخالفو لورو دوه ازموینې دا قضیې په شاوخوا یوه دقیقه کې بېلوي۔

دوه لوري، دوه بېلې پرېکړې

کله چې کلاینټ د ایکو غوښتنه ولېږي، د Windows فایر وال یو وتونکی اړیکه ویني چې د اجازې ورکولو پرېکړه یې کړې ده۔ ځواب د همدې تړل شوي جریان په داخل کې راګرځي، نو هغه انجن چې حالت تعقیبوي پرته له دې چې د ICMP لپاره کومه راتلونکې قاعده وپوښتي، مني یې۔ په عمل کې د حالت پر بنسټ فلټر کول همدا معنا لري، او هغه قاعده چې چا نه ده لیکلې په دې کې نه ښکېلې ده۔ نو د کلاینټ بریا د راتلونکې پالیسۍ په اړه هېڅ نه وایي۔

کله چې سرور غوښتنه لومړی ولېږي، هېڅ حالت ورسره سمون نه خوري۔ Windows پاکټ د نوي راتلونکي اړیکې په توګه ګڼي او راتلونکې پالیسۍ ته ګوري، کومه چې په ډیفالټ ډول د خپل سرو سرچینو څخه راتلونکو ایکو غوښتنو لپاره هېڅ ترتیبات نه لري۔

نو د کلاینټ بریا ثابته کړه چې وتونکی ICMP او د بېرته راتلو لاره کار کوي۔ دا هېڅکله راتلونکې پرېکړه نه ده ازمولې، او طبیعي نتیجه، چې فایر وال سم دی، معقوله او غلطه ده۔ له همدې امله دا تېروتنه په هغو ټیکټونو کې تکرارېږي چې دمخه یې ثبوت لري۔

پاکټ تعقیب کړئ تر څو چې ورک شي

له هر بدلون دمخه پتې تایید کړئ: هغه تونل پته وکاروئ چې کلاینټ واقعاً یې لري، او وګورئ چې سرور هماغې ته لارښوونه کوي نه د کلاینټ شاته LAN پتې ته۔ دواړه ناکامۍ د سرور له پرامپټ څخه یو شان ښکاري، ځکه دواړه د وخت د ختمېدو سره پای ته رسېږي۔ چې پاکټ چېرې مري، یوازینی حقیقت دی چې پرېکړه کوي څه باید بدل شي۔

که غوښتنه د تونل انټرفیس ته ورسېږي او هېڅ ونه وځي، نو ښکاري لامل محلي فایر وال دی۔ که هېڅکله انټرفیس ته ونه رسېږي، ځواب لږه لوړ دی: په سرور کې لاره، وتونکې پالیسي، یا د VPN خپله د سیالو ترمنځ رسول۔

کله چې سرور پینګ کوي، د کلاینټ د تونل انټرفیس باندې ثبت واخلئ۔ غوښتنې ته پرته له څنګه ځواب راتلو لیدل هغه ثبوت دی چې د Windows قاعدې لیکل توجیه کوي۔ هېڅ نه لیدل تاسو لږه لوړ ته استوي، او په هغه حالت کې اضافه شوې قاعده یوازې ماشین د هغه پاکټ لپاره ډېر اجازه ورکوونکی کوي چې هېڅکله نه دی راغلی۔ په هر حالت کې ثبت له هغه اټکل څخه کم لګښت لري چې ځای یې نیسي۔

د ICMP پرانیستلو پر ځای یوه قاعده محدوده کړئ

له هر څه لیکلو دمخه اډاپټر او د هغه اوسنی کټګوري وپیژنئ، ځکه دواړه په هغه حد کې ښکاري چې تاسو یې ټاکل کوئ۔ هغه لقب د Windows د انټرفیس نوم دی، چې اړینه نه ده ستاسو د وارد شوي VPN پروفایل نوم وي۔ لاندې کمانډونه ښیي چې څه شته، بیا پرته له پلي کولو د محدودې قاعدې مخکتنه ښیي۔

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 ډول 8 د ایکو غوښتنه ده، یوازینی پیغام چې سرور ورته ځواب ته اړ دی۔ دا د سرور د تونل پتې او د تونل انټرفیس پورې محدوده کړئ، او پروفایل هماغسې پرېږدئ لکه اډاپټر چې واقعاً دی۔ د یو مثال سره سمون لپاره د شبکې نوم بدلول بېله بدلون دی چې خپلې پایلې لري۔

قاعده څه نه پوښي

د IPv6 ایکو بېل پروتوکول دی چې بېل ډول پیغام لري، نو د ICMPv4 قاعده د هغه په اړه هېڅ نه وایي، او هغه تونل چې دواړه کورنۍ وړي خپله قاعده بل لپاره غواړي۔ دا قاعده بل هېڅ هم نه پرانیزي: RDP، د فایلونو شریکول او هر بل خدمت لا هم خپلې پالیسۍ ته تړلی دی۔ د پراخ ICMP اجازې فعالولو پر ځای د یوې تنګې قاعدې محدودولو بشپړه معنا همدا ده۔ پراخه اجازه اسانه حل دی او تر ټولو اوږد پاتې کېږي، ځکه وروسته هیڅوک نه یې ویني۔

په مدیریت شوي وسیله کې قاعده د پالیسۍ په راتلونکي تازه کېدو کې بدلېدلی شي، نو معادله بدلون باید د پالیسۍ مالک وکړي نه محلي مدیر۔ نیت له کمانډ سره یوځای په ټیکټ کې ولیکئ، ځکه تازه کول کمانډ پاکوي او اړتیا بې بدله پرېږدي۔ دواړه یو شی نه دي، او یوازې یو یې پاتې کېږي۔

پایله په سم لوري ولولئ

وروسته له دې چې قاعده پلي شي، له سرور څخه پینګ وکړئ او تایید کړئ چې ځواب کلاینټ ته رسېږي، بیا له هغې سرچینې پینګ وکړئ چې لا هم باید بنده وي او تایید کړئ چې نه رسېږي۔ که تونل بله پته کورنۍ وړي، د رسېدو ازموینه په هغه لوري هم تکرار کړئ۔

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

هغه قاعده چاپول چې عملي شوې، له هغه کمانډ څخه ډېر ګټور دی چې جوړه کړې یې ده، ځکه مخکتنه او پلي شوې قاعده دوه بېل حالتونه دي۔ که د پتو فلټر هغه سرچینه وښيي چې تاسو یې غوښتې، او بنده شوې سرچینه لا هم د وخت د ختمېدو سره پای ته رسېږي، قاعده بالکل هغه څه کوي چې د هغې حد وایي۔ د کلاینټ څخه پیل شوې بریالۍ پینګ دا هېڅکله نه شوای ښودلی، له همدې امله د هرې ازموینې لوري ته د هغې پایلې ترڅنګ په ثبت کې ځای دی۔ په ټیکټ کې دواړه لوري وساتئ، که نه بل لوستونکی هغه ازموینه تکراروي چې ناکامېدلی نه شي۔