یوازې د Windows فایر وال د VPN د بندولو سوئیچ په توګه: ټینګېږي؟
د انټرفیس ډول قواعد کولای شي فزیکي اډاپټرونه بند کړي، خو د دریم اړخ تونل اکثراً د تار والا ښکاري۔ طبقه بندي، د پای نقطې لار، بیا DNS وګورئ۔
وپوښتئ چې ایا د Windows فایر وال یوازې د اضطراري سوئیچ په توګه کار کولای شي او تاسې ته دوه باوري او ناسمطابق ځوابونه ترلاسه کوئ۔ یو وایي چې د انټرفیس ډول قاعده ټول کار کوي; بل وایي چې پرته له سکریپټونو نه کار کوي۔ دواړه د یوې همدې میکانېزم نیمایي بیانوي۔ فایر وال کولای شي بندیز بیان کړي، او ایا نتیجه واقعاً په تړلي ډول ناکامېږي په درې شیانو پورې اړه لري: Windows د تونل اډاپټر څنګه طبقه بندي کوي، ایا د پای نقطې استثنا پاتې کېږي، او ایا د نومونو حل او IPv6 پوښل شوي دي۔ له دې یو هم غلط شي، ماشین به یا لیک شي یا به ټول اړیکه له لاسه ورکړي۔
درې شرطونه، په دې ترتیب
لومړی شرط طبقه بندي ده، او هغه فیصله کوي چې ایا هغه قاعده چې تاسې یې غواړئ اصلاً بیانېدلای شي۔ د Windows فایر وال قواعد د انټرفیس ډول له مخې محدودېدای شي: تار والا، بې تاره یا لرې لاسرسی۔ هغه پالیسي چې په فزیکي ډولونو کې وتونکی ټرافیک بندوي او تونل ته اجازه ورکوي یوازې هغه وخت کار کوي چې Windows تونل د لرې لاسرسي په توګه پېژني۔
دویم شرط د پای نقطې استثنا ده۔ مخکې له دې چې کوم تونل وي، کلاینټ باید د فزیکي اډاپټر له لارې VPN سرور ته ورسیږي، نو پر هغه اډاپټر بشپړ بندیز هماغه اړیکه بندوي چې بندیز به یې بې اړتیا کړی و۔ استثنا باید سرور او د هغه پورټ ونوموي، او پاکټ باید د فزیکي دروازې له لارې ووځي نه هغه تونل ته چې لا نه دی پورته شوی۔
دریم پوښښ دی۔ هغه قواعد چې IPv4 بندوي او IPv6 هېروي، یا ځایي حل کوونکي ته د پای نقطې د لټون اجازه ورکوي او په دې توګه هر بل لټون ته هم اجازه ورکوي، په هماغه کړکۍ کې چې سوئیچ د هغې لپاره شته خلاص ناکامېږي۔ دا د ډیزاین تشه ده، د فایر وال خرابي نه۔ دا هغه تشه هم ده چې پر میز هرې آزموینې ته له سره پاتې کېږي۔
طبقه بندي لومړۍ دروازه ده
وګورئ چې Windows د اډاپټرونو په اړه څه فکر کوي، مخکې له دې چې یوه قاعده ولیکئ۔ د Windows اصلي VPN اړیکه معمولاً د لرې لاسرسي په توګه ښکاري۔ د دریم اړخ کلاینټ چې خپل مجازي اډاپټر جوړوي اکثراً د تار والا په توګه ښکاري، چې مانا یې دا ده چې تار والا اډاپټرونو ته محدود بندیز تونل هم بندوي۔
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionدریمه امر تاسې ته وایي چې ایا د وتلو ډیفالټ بندیز لا دمخه نافذ دی، چې د ډیزاین ټوله بڼه بدلوي۔ که ډیفالټ لا دمخه بندیز وي، تاسې د اجازه ورکوونکي بنسټ استثناوې نه، بلکې د اجازې قواعد لیکئ، او د دې په اړه فکر کول ډېر اسانه دي۔
که ستاسو د تونل اډاپټر ځان د تار والا په توګه راپور کړي، یوازې فایر وال د تړلي ناکامۍ ډیزاین لپاره سمه وسیله نه ده، او د قواعدو هېڅ تنظیم دا نه بدلوي۔ دا هغه حالت دی چې په هر فورم تار کې دویم نظر سم وي۔
د پای نقطې استثنا قاعدې سربېره لار هم غواړي
فرض کړئ طبقه بندي کار کوي۔ استثنا دوه ټوټې ده، او هغوی په بېلو فرعي سیستمونو کې ژوند کوي۔ د فایر وال قاعده ټرافیک ته اجازه ورکوي; د کوربه لار هغه د سم انټرفیس له لارې باسي کله چې تونل لاندې وي۔
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32پرته له لارې استثنا یوازې تر هغه مرسته کوي چې ډیفالټ لار لا فزیکي دروازې ته اشاره کوي۔ کله چې کلاینټ خپله ډیفالټ لار نصب کړه او بیا مړ شو، اجازه شوو پاکټونو لپاره د تللو معقول ځای نه پاتې کېږي او اړیکه بیا نه شي ټینګېدلای۔ هغه ناکامي د مات کلاینټ په څېر ښکاري او په رښتیا ورکه لار ده۔
استثنا هومره تنګه وساتئ څومره چې کلاینټ اجازه ورکوي۔ یو پته او یو پورټ د بیاکتنې وړ ده; د عرض کوونکي ټول شبکه پوښوونکې سیمه نه۔ هغه پراخه قاعده هر هغه بل شی ته هم اجازه ورکوي چې د هماغه عرض کوونکي سره کوربه دی، او دا معمولاً له هغې زیات دی چې تاسې فکر کړی و۔
DNS او IPv6 هغه ځایونه دي چې خلاص ناکامېږي
د نومونو حل کلاسیک لیک دی۔ که پای نقطه د کوربه نوم وي، کلاینټ باید مخکې له تونل څخه یې حل کړي، چې مانا یې دا ده چې فزیکي اډاپټر ته د حل کوونکي ترلاسه کولو اجازه ورکول ضروري ده۔ هماغه اجازه هر بل لټون د تونل د لاندې کېدو پر مهال باسي، او یو لټون بس دی چې ښکاره کړي تاسې به څه لیدو ته تللي وئ۔
IPv6 دویم دی۔ د IPv4 لپاره لیکل شوې قواعد بله کورنۍ نه پوښي، او ډېر کلاینټونه یوازې IPv4 لارې نصبوي۔ له همدې امله د اصلي IPv6 اړیکې لرونکی ماشین کولای شي د IPv4 خوا په کلکه بنده وي او بیا هم له انټرنیټ سره خبرې وکړي، او سوئیچ ټول وخت بریالیتوب راپور کوي۔
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
دریمه کرښه د تېښتې پر ځای د پوهېدو وړ ده۔ فایر وال د پاکټونو په اړه فیصله کوي، نه د دې په اړه چې کوم اپلیکیشن کوم انټرفیس غوښتی، او هغه پروګرام چې ښکاره تړل کېږي ممکن کنټرولول یې سخت وي۔ دا د کلاینټ خوا سوئیچ په ګټه دلیل دی چې د اپلیکیشن لاندې کار کوي، نه د نورو قواعدو په ګټه۔
د تار په کش کولو نه، د کلاینټ په ودروولو ازموینه وکړئ
یوازینۍ معنامېنه آزموینه هغه ده چې هغه ناکامي تقلیدوي چې تاسې ترې ساتنه کوئ۔ خدمت ودروئ، پروسه ووژنئ، یا هغه اډاپټر غیر فعال کړئ چې کلاینټ جوړ کړی و، بیا هڅه وکړئ انټرنیټ او یو نوم ته ورسیږئ:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443درېواړه باید ناکام شي۔ که لومړی بریالی شي، بندیز نافذ نه دی; که دویم هلته بریالی شي چې لومړی ناکام شو، تاسې DNS لیک لرئ; که دریم بریالی شي، IPv6 نه دی پوښل شوی۔ هر نتیجه دقیقاً یوې له پورتنو تشو ته اشاره کوي۔
وروسته له خوب او ویښېدو آزموینه تکرار کړئ، ځکه چې د فایر وال پروفایل کولای شي بدل شي کله چې Windows فیصله کوي چې شبکه عامه یا شخصي ده، او پروفایل ته محدودې قواعد ورسره ځي۔ هغه ډیزاین چې پر میز ټینګېږي او په ریل کې ناکامېږي، یو ځل آزمویل شوی ډیزاین دی۔
که د طبقه بندي دروازه یا د DNS غوښتنه یوازې-فایر-وال چلند ناشونې کړي، کلاینټ خوا سوئیچ صادق ځواب دی۔ که تونل پر ځای په روټر کې پای ومومي، پالیسي باید د روټر وي، ځکه هلته یوه قاعده د هغه شاته هر وسیله پوښي او دې ته نه تړلې ده چې Windows اډاپټر ته څه نوم ورکوي۔