Vetëm firewali i Windows si ndërprerës emergjence VPN: a mban?

Pyetni nëse firewali i Windows mund të veprojë vetëm si ndërprerës emergjence dhe do të merrni dy përgjigje të sigurta dhe të papajtueshme. Njëra thotë se rregulli sipas llojit të ndërfaqes e bën të gjithë punën; tjetra se nuk funksionon pa skripte. Të dyja përshkruajnë gjysmën e të njëjtit mekanizëm. Firewali mund ta shprehë bllokimin, dhe nëse rezultati me të vërtetë dështon i mbyllur varet nga tre gjëra: si e klasifikon Windows përshtatësin e tunelit, nëse i mbijeton përjashtimi i pikës fundore dhe nëse janë të mbuluara zgjidhja e emrave dhe IPv6. Gaboni në njërën dhe makina ose rrjedh ose humbet çdo lidhje.

Tre kushte, në këtë rend

Kushti i parë është klasifikimi, dhe ai vendos nëse rregulli që dëshironi është edhe i shprehshëm. Rregullat e firewalit të Windows mund të kufizohen sipas llojit të ndërfaqes: me kabllo, pa kabllo ose akses në distancë. Një politikë që bllokon trafikun dalës në llojet fizike dhe lejon tunelin funksionon vetëm nëse Windows e njeh tunelin si akses në distancë.

Kushti i dytë është përjashtimi i pikës fundore. Përpara se të ekzistojë ndonjë tunel, klienti duhet të arrijë serverin VPN përmes përshtatësit fizik, kështu që një bllokim i plotë në atë përshtatës pengon pikërisht lidhjen që do ta bënte bllokimin të panevojshëm. Përjashtimi duhet të emërojë serverin dhe portën e tij, dhe paketa duhet të dalë përmes portës fizike dhe jo në një tunel që nuk është ngritur ende.

I treti është mbulimi. Një grup rregullash që bllokon IPv4 dhe harron IPv6, ose që lejon zgjidhësin lokal të kërkojë pikën fundore dhe kështu lejon çdo kërkim tjetër, dështon hapur pikërisht në dritaren për të cilën ekziston ndërprerësi. Kjo është një boshllëk dizajni, jo një defekt i firewalit. Është gjithashtu boshllëku që i mbijeton çdo prove mbi një tavolinë.

Klasifikimi është porta e parë

Shikoni çfarë mendon Windows për përshtatësit përpara se të shkruani një rregull të vetëm. Një lidhje VPN e natyrshme e Windows zakonisht shfaqet si akses në distancë. Një klient i palës së tretë që krijon përshtatësin e tij virtual shpesh shfaqet me kabllo, që do të thotë se një bllokim i kufizuar te përshtatësit me kabllo bllokon edhe tunelin.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundAction

Komanda e tretë ju tregon nëse një bllokim dalës i parazgjedhur është tashmë në fuqi, gjë që ndryshon të gjithë formën e dizajnit. Nëse parazgjedhja është tashmë bllokim, ju shkruani rregulla leje dhe jo përjashtime ndaj një baze lejuese, dhe ky është një qëndrim shumë më i lehtë për t'u menduar.

Nëse përshtatësi i tunelit raportohet me kabllo, vetëm firewali nuk është mjeti i duhur për një dizajn që dështon i mbyllur, dhe asnjë rregullim rregullash nuk e ndryshon këtë. Ky është rasti kur mendimi i dytë në çdo temë forumi është i saktë.

Përjashtimi i pikës fundore kërkon edhe rrugë, jo vetëm rregull

Supozoni se klasifikimi funksionon. Përjashtimi përbëhet nga dy pjesë, dhe ato jetojnë në nënsisteme të ndryshme. Rregulli i firewalit lejon trafikun; rruga e hostit e bën atë të dalë përmes ndërfaqes së duhur ndërsa tuneli është poshtë.

New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
  -Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32

Pa rrugën, përjashtimi ndihmon vetëm sa kohë një rrugë e parazgjedhur ende tregon drejt portës fizike. Kur klienti instalon rrugën e tij të parazgjedhur dhe pastaj vdes, paketat e lejuara nuk kanë ku të shkojnë në mënyrë të arsyeshme dhe lidhja nuk mund të rivendoset. Ai dështim duket si klient i prishur dhe në të vërtetë është një rrugë që mungon.

Mbajeni përjashtimin aq të ngushtë sa lejon klienti. Një adresë dhe një portë janë të rishikueshme; një interval që mbulon të gjithë rrjetin e ofruesit nuk është. Ai rregull më i gjerë lejon edhe çdo gjë tjetër të strehuar te i njëjti ofrues, që zakonisht është më shumë sesa keni synuar.

DNS dhe IPv6 janë vendet ku dështon hapur

Zgjidhja e emrave është rrjedhja klasike. Nëse pika fundore është emër hosti, klienti duhet ta zgjidhë para se të ekzistojë tuneli, që do të thotë se përshtatësit fizik duhet t'i lejohet të arrijë një zgjidhës. I njëjti leje lë të dalë çdo kërkim tjetër ndërsa tuneli është poshtë, dhe një kërkim mjafton për të zbuluar çfarë ishit gati të vizitonit.

IPv6 është i dyti. Rregullat e shkruara për IPv4 nuk e mbulojnë familjen tjetër, dhe shumë klientë instalojnë vetëm rrugë IPv4. Një makinë me lidhje IPv6 të natyrshme mund, pra, të vazhdojë të flasë me internetin ndërsa ana IPv4 është e bllokuar fort, dhe ndërprerësi raporton sukses gjatë gjithë kohës.

Rreshti i tretë meriton të kuptohet dhe jo të anashkalohet. Një firewall vendos për paketat, jo për atë se cilën ndërfaqe kërkoi të përdorë një aplikacion, dhe një program që lidhet në mënyrë eksplicite mund të jetë i vështirë për t'u mbajtur nën kontroll. Ky është një argument për një ndërprerës nga ana e klientit që vepron nën aplikacion, jo për më shumë rregulla.

Provoni duke ndalur klientin, jo duke tërhequr kabllon

Prova e vetme kuptimplote është ajo që imiton dështimin nga i cili mbroni veten. Ndalni shërbimin, vrisni procesin ose çaktivizoni përshtatësin që krijoi klienti, pastaj provoni të arrini internetin dhe një emër:

Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443

Të tre duhet të dështojnë. Nëse i pari ka sukses, bllokimi nuk është në fuqi; nëse i dyti ka sukses aty ku i pari dështoi, keni rrjedhje DNS; nëse i treti ka sukses, IPv6 nuk është i mbuluar. Çdo rezultat tregon pikërisht njërin nga boshllëqet më sipër.

Përsëriteni provën pas gjumit dhe zgjimit, sepse profili i firewalit mund të ndryshojë kur Windows vendos se një rrjet është publik ose privat, dhe rregullat e kufizuara në një profil e ndjekin atë. Një dizajn që mban mbi tavolinë dhe dështon në tren është një dizajn i provuar një herë.

Nëse porta e klasifikimit ose kërkesa e DNS e bëjnë të papërdorshëm qasjen vetëm-firewall, një ndërprerës nga ana e klientit është përgjigjja e ndershme. Nëse tuneli përfundon në një router, politika duhet t'i përkasë routerit, sepse një rregull atje mbulon çdo pajisje pas tij dhe nuk varet nga mënyra se si Windows emërton një përshtatës.