Windows ෆයර්වෝල් පමණක් VPN නවතන ස්විචය ලෙස: රැඳේද?
අතුරුමුහුණත් වර්ගය අනුව නීති භෞතික ඇඩැප්ටර අවහිර කළ හැකි නමුත් තෙවන පාර්ශ්ව ටනලය බොහෝ විට රැහැන් සහිත ලෙස පෙනේ. වර්ගීකරණය, අන්ත ලක්ෂ්‍ය මාර්ගය, පසුව DNS පරීක්ෂා කරන්න.
Windows ෆයර්වෝල් තනිවම හදිසි නවතන ස්විචයක් ලෙස ක්‍රියා කළ හැකිදැයි අසන්න, එවිට ඔබට විශ්වාසවන්ත හා නොගැළපෙන පිළිතුරු දෙකක් ලැබේ. එකක් කියන්නේ අතුරුමුහුණත් වර්ගයේ නීතිය මුළු කාර්යයම කරන බවයි; අනෙක කියන්නේ ස්ක්‍රිප්ට් නොමැතිව එය ක්‍රියා නොකරන බවයි. දෙකම එකම යාන්ත්‍රණයේ අඩක් විස්තර කරයි. ෆයර්වෝල්ට අවහිරතාව ප්‍රකාශ කළ හැකි අතර, ප්‍රතිඵලය සැබවින්ම වැසුණු ලෙස අසාර්ථක වන්නේද යන්න කරුණු තුනක් මත රඳා පවතී: Windows ටනල ඇඩැප්ටරය වර්ගීකරණය කරන ආකාරය, අන්ත ලක්ෂ්‍ය ව්‍යතිරේකය ඉතිරි වන්නේද, සහ නාම විභේදනය හා IPv6 ආවරණය වී ඇත්ද. මේවායින් එකක් වැරදුණොත් යන්ත්‍රය එක්කෝ ලීක් වේ, නැතහොත් සියලු සම්බන්ධතාව අහිමි වේ.
කොන්දේසි තුනක්, මෙම අනුපිළිවෙලින්
පළමු කොන්දේසිය වර්ගීකරණය වන අතර, ඔබට අවශ්‍ය නීතිය කිසිසේත් ප්‍රකාශ කළ හැකිද යන්න එය තීරණය කරයි. Windows ෆයර්වෝල් නීති අතුරුමුහුණත් වර්ගය අනුව සීමා කළ හැක: රැහැන් සහිත, රැහැන් රහිත හෝ දුරස්ථ ප්‍රවේශය. භෞතික වර්ග මත පිටවන ගමනාගමනය අවහිර කර ටනලයට අවසර දෙන ප්‍රතිපත්තියක් ක්‍රියා කරන්නේ Windows ටනලය දුරස්ථ ප්‍රවේශයක් ලෙස හඳුනාගතහොත් පමණි.
දෙවන කොන්දේසිය අන්ත ලක්ෂ්‍ය ව්‍යතිරේකයයි. කිසිදු ටනලයක් පවතින පෙර ක්ලායන්ටය භෞතික ඇඩැප්ටරය හරහා VPN සේවාදායකයට ළඟා විය යුතුය, එබැවින් එම ඇඩැප්ටරය මත සම්පූර්ණ අවහිරතාවක් අවහිරතාව අනවශ්‍ය කරන සම්බන්ධතාවම වළක්වයි. ව්‍යතිරේකය සේවාදායකය සහ එහි තොටුපළ නම් කළ යුතු අතර, පැකට්ටුව තවම එසවී නැති ටනලයට නොව භෞතික ද්වාරය හරහා පිටවිය යුතුය.
තෙවැන්න ආවරණයයි. IPv4 අවහිර කර IPv6 අමතක කරන, නැතහොත් අන්ත ලක්ෂ්‍ය සෙවීම සඳහා දේශීය විසඳන යන්ත්‍රයට අවසර දී එතුළින් අනෙක් සෑම සෙවීමකටත් අවසර දෙන නීති කට්ටලය ස්විචය පවතින්නේ ඒ වෙනුවෙන්ම යන එම කවුළුවේදීම විවෘතව අසාර්ථක වේ. එය නිර්මාණයේ හිඩැසක් මිස ෆයර්වෝල් දෝෂයක් නොවේ. මේසය මත සිදු කරන සෑම පරීක්ෂණයකින්ම ගැලවෙන හිඩැසද එයමය.
වර්ගීකරණය පළමු ද්වාරයයි
එක නීතියක්වත් ලිවීමට පෙර Windows ඇඩැප්ටර ගැන සිතන්නේ කුමක්දැයි බලන්න. Windows හි ස්වදේශීය VPN සම්බන්ධතාව සාමාන්‍යයෙන් දුරස්ථ ප්‍රවේශයක් ලෙස පෙනේ. තමන්ගේම අභ්‍යවකාශ ඇඩැප්ටරය සාදන තෙවන පාර්ශ්ව සේවාලාභියා බොහෝ විට රැහැන් සහිත ලෙස පෙනේ, එනම් රැහැන් සහිත ඇඩැප්ටරවලට සීමිත අවහිරතාව ටනලයද අවහිර කරයි.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionතෙවන විධානය පවසන්නේ පෙරනිමි පිටවන අවහිරතාව දැනටමත් ක්‍රියාත්මකද යන්නයි, එය මුළු නිර්මාණයේ හැඩයම වෙනස් කරයි. පෙරනිමිය දැනටමත් අවහිරතාවක් නම්, ඔබ ඉඩ දෙන පදනමකට ව්‍යතිරේක නොව අවසර නීති ලියයි, එය ගැන සිතීම වඩාත් පහසුය.
ඔබේ ටනල ඇඩැප්ටරය රැහැන් සහිත ලෙස වාර්තා කරන්නේ නම්, වැසුණු අසාර්ථකත්ව නිර්මාණයකට ෆයර්වෝල් පමණක් නිවැරදි මෙවලම නොවේ, කොපමණ නීති සකස් කළත් එය වෙනස් නොවේ. සෑම සංසද තන්තුවකම දෙවන මතය නිවැරදි වන අවස්ථාව මෙයයි.
අන්ත ලක්ෂ්‍ය ව්‍යතිරේකයට නීතිය මෙන්ම මාර්ගයද අවශ්‍යයි
වර්ගීකරණය ක්‍රියා කරන බව උපකල්පනය කරන්න. ව්‍යතිරේකය කොටස් දෙකකින් සමන්විත වන අතර ඒවා විවිධ උපපද්ධතිවල ජීවත් වේ. ෆයර්වෝල් නීතිය ගමනාගමනයට අවසර දෙයි; සත්කාරක මාර්ගය ටනලය පහළ ඇති විට එය නිවැරදි අතුරුමුහුණත හරහා පිටතට යාමට සලස්වයි.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32මාර්ගය නොමැතිව ව්‍යතිරේකය උපකාර කරන්නේ පෙරනිමි මාර්ගය තවමත් භෞතික ද්වාරයට යොමු වන තාක් පමණි. ක්ලායන්ටය තමන්ගේම පෙරනිමි මාර්ගය ස්ථාපනය කර පසුව මිය ගිය විට, අවසර ලත් පැකට්වලට යාමට අර්ථවත් තැනක් නොමැති අතර සම්බන්ධතාව නැවත ස්ථාපිත කළ නොහැක. එම අසාර්ථකත්වය බිඳුණු ක්ලායන්ටයක් ලෙස පෙනෙන නමුත් ඇත්තෙන්ම නැති වූ මාර්ගයකි.
ක්ලායන්ටය ඉඩ දෙන තරමට ව්‍යතිරේකය පටුව තබන්න. එක් ලිපිනයක් සහ එක් තොටුපළක් සමාලෝචනය කළ හැක; සැපයුම්කරුගේ මුළු ජාලයම ආවරණය කරන පරාසයක් නොවේ. එම පුළුල් නීතිය එම සැපයුම්කරු යටතේ සත්කාරක වන අනෙක් සියල්ලටත් අවසර දෙයි, එය සාමාන්‍යයෙන් ඔබ අදහස් කළ ප්‍රමාණයට වඩා වැඩිය.
DNS සහ IPv6 යනු එය විවෘතව අසාර්ථක වන තැන්ය
නාම විභේදනය සම්ප්‍රදායික ලීකයයි. අන්ත ලක්ෂ්‍යය සත්කාරක නාමයක් නම්, ටනලය පවතින පෙර ක්ලායන්ටය එය විසඳිය යුතුය, එනම් භෞතික ඇඩැප්ටරයට විසඳන යන්ත්‍රයකට ළඟා වීමට අවසර දිය යුතුය. එම අවසරයම ටනලය පහළ ඇති විට අනෙක් සෑම සෙවීමක්ම පිටතට යාමට ඉඩ දෙයි, එක් සෙවීමක් පමණක් ඔබ නරඹන්නට යන දේ හෙළිදරව් කිරීමට ප්‍රමාණවත්ය.
IPv6 දෙවැන්නයි. IPv4 සඳහා ලියන ලද නීති අනෙක් පවුල ආවරණය නොකරන අතර බොහෝ ක්ලායන්ට් එක් IPv4 මාර්ග පමණක් ස්ථාපනය කරයි. එබැවින් ස්වදේශීය IPv6 සම්බන්ධතාව ඇති යන්ත්‍රයකට IPv4 පැත්ත තදින් අවහිරව තිබියදීත් අන්තර්ජාලය සමඟ කතා කරගෙන යා හැකි අතර, ස්විචය සෑම විටම සාර්ථකත්වය වාර්තා කරයි.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
තෙවන පේළිය මඟ හැරීමට වඩා තේරුම් ගැනීම වටී. ෆයර්වෝල් තීරණය කරන්නේ පැකට් ගැනය, යෙදුමක් කුමන අතුරුමුහුණතක් භාවිත කරන්නට ඉල්ලා සිටියේද යන්න ගැන නොවේ, සහ පැහැදිලිව බැඳෙන වැඩසටහනක් පාලනය කිරීම අපහසු විය හැක. මෙය යෙදුමට පහළින් ක්‍රියා කරන සේවාලාභී පැත්තේ ස්විචයක් වෙනුවෙන් වන තර්කයක් මිස තවත් නීති වෙනුවෙන් නොවේ.
කේබලය ඇදීමෙන් නොව ක්ලායන්ටය නවතා පරීක්ෂා කරන්න
අර්ථවත් එකම පරීක්ෂණය ඔබ ආරක්ෂා වන අසාර්ථකත්වය අනුකරණය කරන එකයි. සේවාව නවතන්න, ක්‍රියාවලිය ඝාතනය කරන්න, නැතහොත් ක්ලායන්ටය සෑදූ ඇඩැප්ටරය අක්‍රීය කරන්න, පසුව අන්තර්ජාලය සහ නාමයකට ළඟා වීමට උත්සාහ කරන්න:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443තුනම අසාර්ථක විය යුතුය. පළමුවැන්න සාර්ථක නම් අවහිරතාව ක්‍රියාත්මක නොවේ; පළමුවැන්න අසාර්ථක වූ තැන දෙවැන්න සාර්ථක නම් ඔබට DNS ලීකයක් ඇත; තෙවැන්න සාර්ථක නම් IPv6 ආවරණය නොවී ඇත. සෑම ප්‍රතිඵලයක්ම ඉහත හිඩැස්වලින් හරියටම එකක් වෙත යොමු කරයි.
නින්ද සහ අවදිවීමෙන් පසු පරීක්ෂණය නැවත කරන්න, මන්ද Windows ජාලයක් පොදු හෝ පුද්ගලික යැයි තීරණය කරන විට ෆයර්වෝල් පැතිකඩ වෙනස් විය හැකි අතර පැතිකඩකට සීමිත නීති එය අනුගමනය කරයි. මේසය මත රැඳී රථයේදී අසාර්ථක වන නිර්මාණය එක් වරක් පරීක්ෂා කළ නිර්මාණයකි.
වර්ගීකරණ ද්වාරය හෝ DNS අවශ්‍යතාව ෆයර්වෝල්-පමණක් ප්‍රවේශය අප්‍රායෝගික කරන්නේ නම්, සේවාලාභී පැත්තේ ස්විචය අවංක පිළිතුරයි. ටනලය ඒ වෙනුවට රවුටරයකින් අවසන් වන්නේ නම්, ප්‍රතිපත්තිය රවුටරය සතු විය යුතුය, මන්ද එහි එක් නීතියක් එහි පිටුපස ඇති සෑම උපාංගයක්ම ආවරණය කරන අතර Windows ඇඩැප්ටරය නම් කරන ආකාරය මත රඳා නොපවතී.