Sababta albaabka firewall-ka ee ku xiran xaaladda VPN uusan u ahayn qaanuun ping oo keliya tunnel-ka

Ka fikir qaanuun firewall ah oo daara ICMP echo ee cinwaanka dadweynaha ee server-ka mar kasta oo profil VPN la magacaabay uu ku xiran yahay. Waxaa loo akhriyaa sida «ping oo keliya tunnel-ka», akhrintaasna waa khalad si arrin leh. Qaanuunka ma xaddido cidda gaari karta martigeliyaha; wuxuu beddelaa waxa interface-ka dadweynaha uga jawaabo inta xiriir kale si kadis ah u shaqeynayo. Kuwani waa laba siyaasadood oo kala duwan, midkoodna si aamusnaan ah ayuu ballaariyaa soo-gaadhista.

Qaanuunka aad u malaynayso inaad qortay

Shuruudaha loogu talagalay badanaa waa cidhiidhi: nidaamka ilaalinta, ama maamulaha kaliya ee VPN-ka, waa inuu xaqiijin karaa in server-ku nool yahay. Marka jumlad loo qoro, waxay u egtahay xakameynta gelitaanka tunnel-ka. Marka shay firewall ahaan loo qoro, waxay noqotaa shuruud ku taal profile-ka dadweynaha, maxaa yeelay halkaas ayaa codsiga echo yimaadaa.

Marka shuruuddu noqoto xaalad xiriir halkii ay ka ahaan lahayd cinwaan isha, kooxda dirsadayaasha la ogolaaday ma aha kooxda VPN peers. Qof kasta oo gaari kara cinwaanka dadweynaha wuxuu diri karaa codsi echo inta albaabku furan yahay. Tunnel-ku ma noqon waddada; tunnel-ku wuxuu noqday furaha.

Dadka fikradan faafiya badanaa kama been sheegaan saameynta ay doonayeen. Waxay u baahdeen hubin kaliya jawaabta marka xiriirku caafimaad qabo, caafimaadka xiriirkana VPN ayaa ugu fududaa in lagu arko. Khaladdu waa in calaamadda helitaanka loo qaato go'aan gelitaan, kadibna si otomaatig ah loo sameeyo.

Waxa albaabku dhab ahaan xakameeyo

Naqshaddani waxay isku darsataa laba shay oo madax banaan, kala-soociddooduna waa inta badan sixitaanka. Midda koowaad waa baaxadda: cinwaan maxalli ah kee, cinwaannada fog ee kee, borotokool kee iyo nooca ICMP kee. Midda labaad waa shuruudda: in shayga qaanuunku hadda shaqeynayo. Baaxaddu waa waxa firewall-ku qiimeeyo packet kasta; shuruuddu waa waxa script-ku ku qoro kaydka siyaasadda, labadana waxaa lagu heshiiyaa saacado gebi ahaan ka duwan.

Haddii shuruuddu dhab ahaan tahay oo keliya VPN peers, baaxaddu waxay ka jawaabtaa iyada oo aan lahayn macquul xaalad xiriir: ku xidh qaanuunka interface-ka tunnel-ka ama baaxadda cinwaannada tunnel-ka, ku xaddid cinwaannada fog kooxda macaamiisha, oo tilmaan nooca echo halkii «ICMP». Qaanuunkaas wuu saxnaanayaa xitaa marka VPN aanu shaqeynayn, profile aan la xiriirna ma furi karo.

Haddii shuruuddu dhab ahaan tahay albaab dadweyne, ku sheeg qoraalka siyaasadda, maxaa yeelay shuruudaha aqbalidda way is beddelaan. Albaabka dadweynuhu waa inuu magacaabaa profile-ka saxda ah, qeexaa waxa «ku xiran» macneheedu yahay, oo caddeeyaa in dirsadayaasha dadweynuhu ay baaxadda ku jiraan naqshad ahaan. Inta badan jahwareerka ayaa meesha ka baxa marka qof lagu qasbo inuu jumladdaas qoro.

Dhis shayga hal mar, kadibna beddel

Horey u diyaari hal qaanuun oo leh aqoonsi deggan, oo shidan, oo u ogolow kontoroolka inuu beddelo oo keliya xaaladda shidnaanta. Sameynta qaanuuno magaca bandhigga mar kasta oo la ordho waa sida kaydka siyaasaddu ku dhammaado shan shay oo ku dhow isku mid ah iyo jid la isku halayn karo oo lagu tirtiro.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Magacu waa aqoonsi waaraya; magaca bandhiggu waa dukumenti uu qof tafatiri karo. La jaanqaad -Name oo script-ku wuu joojin doonaa sameynta nuqullo. Qaabka amarka isku mid ah wuxuu daboolaa kiiska IPv6 -Protocol ICMPv6 -IcmpType 128, laakiin waa qaanuun gaar ah maxaa yeelay lambarrada nooca echo way kala duwan yihiin labada qoys.

Hay qoyska cinwaanka iyo nooca ICMP si cad sabab labaad: -Protocol ICMPv4 oo aan nooc lahayn wuxuu ogolaadaa fariin kasta oo ICMPv4 ah oo profile-ku ogolaado, oo ay ku jiraan kuwa aad waligaa u jeedin inaad aqbasho. Magacaabista nooca 8 waxay qaanuunka ku cidhiidhisaa codsiga echo, taasna waa waxa keliya ee hubinta gaaritaanku dirto.

Meesha otomaatiggu ka soo horjeedo ujeeddada

Baaritaanka profile macmiil kasta dhowr daqiiqo kuma abuuri karo xad degdeg ah. Inta u dhaxaysa xiriirka oo go'o iyo baaritaanka xiga qaanuunku wali wuxuu ka jawaabaa cinwaanka dadweynaha; inta u dhaxaysa xiriirka oo soo baxo iyo baaritaanka xiga kama jawaabo. Qirashada dib-u-dhacaas waa daacadnimo, sheegashada in naqshaddu ay ku qasabto is-beddel adag ma aha.

Hubinta xaaladda lafteeda waxaa ku jira dabin baaxadeed. Get-VpnConnection waxay soo sheegtaa profiles macmiil oo lagu habbeeyay mishiinka, sida caadiga ah isticmaalaha hadda iyo dhammaan isticmaalayaasha -AllUserConnection. Ma soo sheegto isticmaalayaasha fog ee hadda ku xiran server RRAS; taasi waa aragti kale oo amarro kale leh. Albaabka lagu dhisay midda khaldan wax lama xiriirto.

Kadib dabool xaaladaha aan cidna script ka qorin: bilow qaanuun horey u shiday oo ka yimid ordhitaan hore, burburka kontoroolka inta albaabku furan yahay, iyo profile la tirtiray inta qaanuunkiisu nool yahay. Mid kastaa wuxuu u baahan yahay caadi qeexan, caadiga ammaanku ee oggolaansho dadweyne waa shidan. Haddii shuruuddu dhab ahaan u adkaysan karin daaqadda baaritaanka, qaanuun ku xiran xaaladdu waa qalab khaldan oo fulintu waxay ka tirsan tahay tunnel-ka, ma aha interface-ka dadweynaha.

Ugu dambeyn, laba jeer tijaabi codsiga dadweynaha, hal mar xiriirka la doortay oo shidan iyo hal mar oo dansan, laga soo bilaabo martigeliye aan VPN-ka ku jirin. Ping guulaystay oo ka yimid gudaha tunnel-ka waxba kama caddeeyo siyaasaddan, taasna waa cabbirka inta badan rakibaaddu dhaafaan.