ولې د VPN حالت پورې تړلې فایر وال دروازه یوازې د ping قاعده نه ده

د فایر وال یوه قاعده تصور کړئ چې هرکله چې نومول شوی VPN پروفایل وصل شي، د سرور د عام پتې لپاره ICMP echo فعالوي۔ دا د «یوازې د تونل له لارې ping» په توګه لوستل کیږي، او دا لوستل په داسې ډول غلط دي چې اهمیت لري۔ قاعده نه محدودوي چې څوک کولای شي هوسټ ته ورسیږي؛ بلکې بدلوي چې عام انټرفیس څه ته ځواب وایي، کله چې بله اړیکه په تصادفي ډول فعاله وي۔ دا دوه جلا پالیسۍ دي، او یوه له هغو په چوپتیا سره زیان پراخوي۔

هغه قاعده چې تاسو فکر کوئ لیکلې ده

مقصد شوې اړتیا معمولاً تنګه ده: د څارنې سیستم یا په VPN کې یوازینی مدیر باید وتوانیږي چې تایید کړي سرور ژوندی دی۔ د جملې په توګه لیکل شوې، دا د تونل پر سر د لاسرسي کنټرول په څېر اوریدل کیږي۔ د فایر وال د شي په توګه لیکل شوې، دا پر عام پروفایل شرط کیږي، ځکه چې د echo غوښتنه هماغلته رسیږي۔

کله چې شرط د سرچینې پتې پر ځای د اړیکې حالت شي، د اجازه ورکړل شوو لېږونکو ټولګه نور د VPN ملګرو ټولګه نه ده۔ هر څوک چې عام پتې ته ورسیږي کولای شي تر هغه چې دروازه خلاصه ده echo غوښتنه ولېږي۔ تونل لار نه شو؛ تونل سویچ شو۔

د دې نظر ملاتړ کوونکي معمولاً د هغه اغیز په اړه درواغ نه وایي چې غوښتل یې۔ دوی ته داسې څېړنې ته اړتیا وه چې یوازې هغه مهال ځواب ووایي چې لینک روغ وي، او د لینک روغتیا د VPN له لارې لیدل تر ټولو اسانه وه۔ تېروتنه دا ده چې د شتون سیګنال د لاسرسي پرېکړه وګڼل شي، بیا یې اتومات وکړل شي۔

دروازه په حقیقت کې څه کنټرولوي

دا ډیزاین دوه خپلواک شیان یوځای کوي، او د هغو جلا کول د سمون ډېره برخه ده۔ لومړی هغه حد دی: کوم ځایي پته، کومې لیرې پتې، کوم پروتوکول او کوم د ICMP ډول۔ دویم شرط دی: ایا د قاعدې شي په دې شیبه فعال دی۔ حد هغه شی دی چې فایر وال یې د هر پاکټ لپاره ارزوي؛ شرط هغه شی دی چې سکریپټ یې د پالیسۍ په زېرمه کې لیکي، او دواړه په بشپړو جلا ساعتونو کې یوځای کیږي۔

که اړتیا واقعاً یوازې د VPN ملګري وي، حد پرته له کومې اړیکې-حالت منطق څخه ځواب ورکوي: قاعده دې تونل انټرفیس یا د تونل پتې حد پورې وتړئ، لیرې پتې د پیریدونکو استخر ته محدودې کړئ، او د «ICMP» پر ځای د echo ډول وټاکئ۔ دا قاعده هغه مهال هم سمه پاتې کیږي چې هیڅ VPN فعال نه وي، او بې اړیکې پروفایل يې نشي خلاصولای۔

که اړتیا واقعاً عامه دروازه ده، دا د پالیسۍ په متن کې ووایاست، ځکه چې د منلو معیارونه بدلیږي۔ عامه دروازه باید دقیق پروفایل ونوموي، تعریف کړي چې «وصل» څه معنا لري، او اعلان کړي چې عام لېږونکي د ډیزاین له مخې په حد کې دي۔ ډېره ګډوډي هغه شیبه ورکیږي چې یو څوک اړ کیږي دا جمله ولیکي۔

شي یو ځل جوړ کړئ، بیا یې ټګل کړئ

د ثابت هویت سره یوه قاعده مخکې له مخکې، غیر فعاله جوړه کړئ، او کنټرولر دې یوازې د هغې د فعالیدو حالت بدل کړي۔ په هر چلولو کې د ښودل شوي نوم له مخې قاعدې جوړول هغه لار ده چې پالیسي زېرمه پنځو نږدې ورته شیانو او د هغو د لرې کولو باوري لارې پرته پاتې کیږي۔

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

نوم تلپاتې پېژندونکی دی؛ ښودل شوی نوم هغه اسناد دي چې انسان یې سمولای شي۔ -Name سره یوځای کړئ او سکریپټ به د کاپي جوړول بند کړي۔ هماغه د حکم بڼه د IPv6 قضیه د -Protocol ICMPv6 -IcmpType 128 سره پوښي، خو دا جلا قاعده ده ځکه چې د echo د ډول شمېرې په دوو کورنیو کې توپیر لري۔

د پتې کورنۍ او د ICMP ډول روښانه وساتئ، دویم لامل هم شته: -Protocol ICMPv4 پرته له ډول هره هغه ICMPv4 پیغام ته اجازه ورکوي چې پروفایل یې اجازه ورکوي، هغه هم چې هیڅکله مو د منلو اراده نه وه۔ د 8 ډول نومول قاعده یوازې echo غوښتنې ته تنګوي، او د رسیدو څېړنه یوازې هماغه لېږي۔

چېرې چې اتومات کول له موخې سره مخالفت کوي

هر څو دقیقو کې د پیریدونکي پروفایل پوښتل نشي کولای سمدستي پوله جوړه کړي۔ د اړیکې د پرېوتو او بلې پوښتنې ترمنځ قاعده لا هم پر عامه پته ځواب وایي؛ د اړیکې د پورته کیدو او بلې پوښتنې ترمنځ ځواب نه وایي۔ د دې ځنډ منل ریښتیني دي، او دا ویل چې ډیزاین سخت نه بدلیدونکی حالت لګوي، ریښتیني نه دي۔

په خپله د حالت څېړنه کې د حد لومه ده۔ Get-VpnConnection پر ماشین تنظیم شوي پیریدونکي پروفایلونه راپور کوي، په ډیفالټ ډول د اوسني کارونکي لپاره او د ټولو کارونکو لپاره د -AllUserConnection سره۔ دا هغه لیرې کارونکي نه راپور کوي چې اوس مهال RRAS سرور ته ډایل-ان دي؛ هغه بله کتنه ده د بل حکم سره۔ پر غلط شي جوړه شوې دروازه له هیچا سره تړلې نه ده۔

بیا هغه حالتونه پوښئ چې هیڅوک سکریپټ نه کوي: پیل د مخکیني چلولو څخه د لا فعالې قاعدې سره، د دروازې د خلاصیدو پر مهال د کنټرولر نړیدل، او پروفایل د هغې د قاعدې د ژوندي پاتې کیدو پر مهال ړنګیدل۔ هر یو ته تعریف شوی ډیفالټ ته اړتیا ده، او د عامې اجازې لپاره خوندي ډیفالټ غیر فعال دی۔ که اړتیا واقعاً د پوښتنې کړکۍ زغم نه لري، حالت پورې تړلې قاعده غلط وسیله ده او پلي کول دې تونل ته اړه ولري، نه عام انټرفیس ته۔

په پای کې، عامه غوښتنه دوه ځله وآزمویاست، یو ځل د ټاکل شوې اړیکې په فعاله او یو ځل د هغې په بنده حالت کې، له هغه هوسټ څخه چې په VPN کې نه دی۔ د تونل له داخل څخه بریالی ping د دې پالیسۍ په اړه هیڅ نه ثابتوي، او هماغه هغه اندازه ده چې ډېری ځای پرځای کول پرېږدي۔