VPN විසන්ධි වූ පසුත් ආරක්ෂක ස්විචය ගමන් තවදුරටත් අවහිර කරයි

උමග ගොස් ඇත, ජාල නිරූපකය සාමාන්‍ය ලෙස පෙනේ, නමුත් කිසිවක් පූරණය නොවේ. ඔබ VPN විසන්ධි කළා, එය ඉවත් කළා හෝ නැවත අරඹා, සම්බන්ධතාවය බිඳවැටෙන විට ඔබ ආරක්ෂා කළ යුතුව තිබූ අවහිරතාවය තවමත් සිටී. සේවාදායක කවුළුවට එය පැහැදිලි කළ නොහැක, මන්ද ඔබ අවහිර කරන්නේ සේවාදායකයා නොවේ: තීරණය ඔබගේ නමින් කර්නලයට ලියා ඇත, එය ඉවත් කිරීමට කිසිවක් ඉතිරි වී නැත. Windows හි එම තත්ත්වය Windows Filtering Platform තුළ පවතී; Linux හි එය iptables හෝ nftables හි නීති කුලකයක් වන අතර, බොහෝ විට ඇරඹුමේදී නැවත යෙදෙන ස්නැප්ෂොට් එකක් සමඟ ය. මම භාවිතා කරන අනුපිළිවෙල මෙයයි: තත්ත්වය කියවන්න, අසාර්ථකත්වය පැහැදිලි කරන පටුම වස්තුව මකන්න, පසුව එය නැවත නැවත තබන දෙය සොයන්න.

ආරක්ෂක ස්විචය යනු සැකසුමක් නොව කර්නල තත්ත්වයකි

ඩෙස්ක්ටොප් සේවාදායක උමගින් පිටත ගමන් ප්‍රතික්ෂේප කරන පෙරහන් එකතු කිරීමෙන් අවහිර කිරීම ක්‍රියාත්මක කරයි. Windows හි ඒවා connect-redirect සහ transport ස්ථරවල WFP පෙරහන් වන අතර, සමහරක් ස්ථිර ය: ඒවා Base Filtering Engine ප්‍රතිපත්ති ගබඩාවේ සටහන් වී, කිසිදු VPN මෘදුකාංගයක් ධාවනය වීමට පෙර යන්ත්‍රය ඇරඹෙන විට ප්‍රතිස්ථාපනය වේ. සේවාදායක කවදා පිරිසිදු කරනවාද යන්නෙන් වෙනස් වේ. සමහරක් විසන්ධි වූ විට පෙරහන් ඉවත් කරයි, සමහරක් පිරිසිදු නික්මීමේදී පමණක්, තවත් සමහරක් පළමුව ස්විචය ක්‍රියා විරහිත කළ විට පමණක්. අවහිරතාවය සක්‍රීයව ඇති විට ඉවත් කරන්න, නැතහොත් ක්‍රියාවලිය ඝාතනය කරන්න, පෙරහන් රැඳී තිබේ.

Linux හි සමාන දෙය නික්මුම් මාර්ගයේ drop හෝ reject නීතියකි, සමහර විට forwarding නීතියක්, සමහර විට වෙනස් කළ chain ප්‍රතිපත්තියක්. ඒ නීති ඒවා එකතු කළ ක්‍රියාවලියට වඩා දිගු කල් පවතී, මන්ද ඒවා කර්නල තත්ත්වයකි: සේවාදායකයා ඝාතනය කරන්න, ක්‍රෑෂ් කරන්න හෝ විදුලිය කපන්න — කර්නලය පැකට් අත්හරිමින් සිටියි, එය අවලංගු කිරීමට කිසිවක් ඉතිරි නොවේ. ස්ථාවරත්ව පැකේජය වර්තමාන නීති කුලකයේ ස්නැප්ෂොට් එකක් ගෙන ඇරඹුමේදී ප්‍රතිස්ථාපනය කිරීමෙන් දෙවන ස්ථාවරත්ව ස්ථරයක් එකතු කරයි, එබැවින් ඊළඟ ආරම්භය අවහිරතාවය දැනටමත් ස්ථාපිතව තිබෙන තත්ත්වයෙන් ආරම්භ වේ.

කිසිවක් මකා දැමීමට පෙර WFP තත්ත්වය කියවන්න

Windows සමඟ අවශ්‍ය මෙවලම් එයි. පරිපාලක ප්‍රොම්ප්ට් එකක් ධාවනය කර වේදිකාවේ තත්ත්වය ඩම්ප් කරන්න; ඩම්පය කාර්ය නාමාවලියේ wfpstate.xml ලෙස පැමිණේ.

netsh wfp show state
netsh wfp show filters
Get-Service bfe

XML තුළ ගිය සැපයුම්කරුගේ නම, Block ක්‍රියාව සහ ස්ථරය සොයන්න. සාමාන්‍ය ගමන් බිඳ දමන්නේ connect-redirect සහ transport පෙරහන් ය; receive-accept ස්ථරයේ පෙරහන සාමාන්‍යයෙන් ඔබේ හේතුව නොවේ. Base Filtering Engine කිසිසේත් ධාවනය නොවේ නම්, වෙනත් තැනක බලන්න, මන්ද ඒ පෙරහන් ක්‍රියාත්මක කිරීමට වෙන කිසිවකට නොහැක.

සාමාන්‍ය ගිනිපවුරු දර්ශනය ද පරීක්ෂා කරන්න, මන්ද බොහෝ දෙනා දෙකෙන් එකක් පමණක් පරීක්ෂා කරයි:

netsh advfirewall show allprofiles
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

ඇතුළත් පැතිකඩ ක්‍රියාත්මක වී අසාර්ථක ගමනට කිසිදු නීතියක් නොගැළපේ නම්, අවහිරතාවය Windows Firewall වෙතින් නොව තෙවන පාර්ශ්ව සැපයුම්කරුවෙකුගෙන් එයි. එම වෙනස අලුත්වැඩියාවට කුමන මෙවලමක් භාවිතා කරන්නේද යන්න තීරණය කරයි.

ඔබ මකන වාක්‍ය ව්‍යූහයෙන්ම Linux නීති කියවන්න

iptables -S නීති එකතු කළ ආකාරයෙන්ම මුද්‍රණය කරයි, එබැවින් ප්‍රතිදානය මකා දැමීමට කෙලින්ම නැවත භාවිතා කළ හැක. iptables -L -v -n පැකට් ගණන් කරන්නන් එකතු කරයි, ඒ ගණන් කරන්නන් නීතිය ඔබේ අසාර්ථක ඉල්ලීම් සමඟ සැබවින්ම ගැළපේද නැතහොත් chain තුළ නිකම් වාඩි වී තිබේද යන්න කියයි.

sudo iptables -S
sudo ip6tables -S
sudo iptables -t nat -S

නීති පමණක් නොව chain ප්‍රතිපත්ති ද කියවන්න: -P OUTPUT DROP කිසිදු නීතියක් නොගැළපුණත් ගමන් අවහිර කරයි. IPv6 වෙන වෙනම පරීක්ෂා කරන්න, මන්ද පවුල් දෙකම ස්ථාපනය කරන සේවාදායකයෙකුට IPv4 නීති ගොස් ගිය පසුවත් IPv6 අවහිරතාවය තබා යා හැක, එවිට රෝග ලක්ෂණය යැපෙන්නේ යෙදුම කුමන පවුලට මුල්තැන දෙන්නේද යන්න මත ය. nftables භාවිතා වන තැන nft list ruleset ද ධාවනය කරන්න; මෙවලම් දෙක ගැළපුම් ස්ථරයක් හරහා එකට පවතී, එක් ලැයිස්තුවක් පැකට් අත්හැරිය හැකි සෑම නීතියක්ම පෙන්වනු ඇතැයි අවශ්‍ය නැත.

අසාර්ථකත්වය පැහැදිලි කරන පටුම වස්තුව මකන්න

Windows හි පළමු පියවර තවමත් සැපයුම්කරුගේම ඉවත් කිරීමේ මාර්ගයයි: ස්ථාපකය නැවත ධාවනය කර repair හෝ uninstall භාවිතා කරන්න, නැතහොත් සැපයුම්කරු ප්‍රකාශයට පත් කරන්නේ නම් පිරිසිදු කිරීමේ මෙවලම ධාවනය කරන්න. ඉතිරි සේවා සහ නියමිත කාර්යයන් සුලභ ය, පිවිසුමේදී සේවාදායකය ආරම්භ කරන කාර්යයක් ඊළඟ ඇරඹුමේදී එහි පෙරහන් නැවත ස්ථාපනය කරයි. සේවාදායකයේ ලේඛනාගාර යතුර කියවන විට අසාර්ථක වන ඉවත් කිරීම සාමාන්‍යයෙන් අදහස් කරන්නේ සේවාවක් හෝ කාර්යයක් තවමත් එය අල්ලාගෙන සිටින බවයි, ලේඛනාගාරය දූෂිත බව නොවේ.

Get-ScheduledTask | Where-Object TaskName -like '*vpn*'
Get-Service | Where-Object DisplayName -like '*vpn*'

ස්ථිර පෙරහන් අවසාන පිළිසරණයයි. ඒවා HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent\Filter යටතේ ඇත, එක් පෙරහනකට GUID මගින් යතුරු කළ එක් අගයක්. පළමුව යතුර අපනයනය කරන්න, ඔබ ඉවත් කරන GUID සටහන් කරන්න, ගිය සේවාදායකයාට අයත් අගයන් පමණක් මකන්න, පසුව එන්ජිම එහි තත්ත්වය නැවත ගොඩනගන පරිදි නැවත අරඹන්න. මුළු යතුර මකන්න එපා, Base Filtering Engine අක්‍රීය කරන්නත් එපා: Windows Firewall සහ Defender එය මත යැපේ, එක් බාධාවක් ඊට වඩා නරක එකක් සමඟ මාරු කරනු ඇත.

reg export "HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent" C:\temp\bfe-backup.reg

Linux හි iptables -S මුද්‍රණය කළ පේළිය ගෙන -A වෙනුවට -D තබන්න. ඔබ හඳුනාගත් එකම නීතිය මකා දැමීම chain එකක් හිස් කිරීමට වඩා හොඳය, මන්ද ඔබේම ප්‍රතිපත්තිය නොවෙනස්ව පවතී.

sudo iptables -D OUTPUT -p udp -j REJECT

drop පරිශීලක-නිර්වචිත chain එකක තිබේ නම්, පළමුව එම chain වෙත යන පිම්ම මකා, පසුව -X සමඟ chain ඉවත් කරන්න. drop නීති තවම තිබියදී chain ප්‍රතිපත්තිය ACCEPT කිරීම ප්‍රතිපත්ති තීරණයට ළඟා වන පැකට්වලට පමණක් උපකාරී වේ. සෑම වගුවක්ම හිස් කිරීම අවසාන පිළිසරණයයි: එය වෙනත් හේතු සඳහා එකතු කළ නීති ද ඉවත් කරයි, ufw සක්‍රීයව ඇති විට සේවාව තවදුරටත් නොපවතින chain තමන් සතු යැයි සිතන ලෙස තබයි.

එය නැවත තබන හිමිකරු සොයන්න

ක්ෂණික අලුත්වැඩියාවෙන් පසු තත්ත්වය ප්‍රතිස්ථාපනය කරන දෙය සොයන්න. Linux හි ස්ථාවරත්ව ඒකකය සක්‍රීයද, සේවාදායකයට පිවිසුමේදී ගිනිපවුරු ප්‍රතිස්ථාපන සැකසුමක් තිබේද, /etc යටතේ සුරකින ලද නීති ගොනුවක් තිබේද පරීක්ෂා කරන්න. Windows හි ආරම්භක සටහන්, සේවා සහ නියමිත කාර්යයන් නැවත පරීක්ෂා කර, පසුව නැවත අරඹා පෙර මෙන්ම එකම විධානවලින් තත්ත්වය නැවත කියවන්න.

අවහිරතාවය නැවත පැමිණියේ නම්, මකා දැමීම විසඳුම නොවීය; හිමිකරු එය විය. කුමන සේවාදායකය හෝ සේවාව එය ස්ථාපනය කරන්නේද සටහන් කර එහි විශේෂාංගය අක්‍රීය කරන්න, සෑම විසන්ධියකට පසුව ගිනිපවුරු ස්ථරයේ සටන් කිරීම වෙනුවට.

එක් ping එකක් නොව සැබෑ ගමන් සමඟ සත්‍යාපනය කරන්න

නම විසඳීම, TCP සම්බන්ධතාවය සහ නව බ්‍රවුසර සැසියක් පරීක්ෂා කර, පසුව නැවත අරඹා එම පරීක්ෂණ තුනම නැවත කරන්න. HTTPS අසාර්ථක වන විට ping ක්‍රියා කරයි නම් එය ජාලයට නොව transport ස්ථරයේ පෙරහනට යොමු කරයි; නැවත ඇරඹීමෙන් පසුව පමණක් නැවත දිස්වන අවහිරතාවය ඔබ තවම නොසොයාගත් හිමිකරුවෙකුට යොමු කරයි.

සාක්ෂි තබා ගන්න: අපනයනය කළ BFE යතුර, හෝ වෙනසට පෙර ග්‍රහණය කළ iptables -S ප්‍රතිදානය. සකස් වී ඇතැයි පැවසීමට පෙර වස්තුව ඉවත් කළ ස්ථරය, එය නැවත ස්ථාපනය කළ හැකි හිමිකරු, එක් පිරිසිදු නැවත ඇරඹීමකට පසු තත්ත්වය, සහ VPN ක්‍රියාවලියක් නොමැතිව සාමාන්‍ය බ්‍රවුස් කිරීම ක්‍රියා කරන බව තහවුරු කරන්න. iptables(8) අත්පොත පිටුවේ පිරිසිදු කිරීම ස්ක්‍රිප්ට් කරන්නේ නම් නිවැරදි මකා දැමීම් සහ ප්‍රතිපත්ති වාක්‍ය ව්‍යූහය ඇත.