Profaili za firewall dhidi ya kutoka kwa VPN: kwa nini umma si njia

Kanuni inasikika kuwa sahihi: ruhusu trafiki ya ndani kwenye profaili ya kibinafsi na trafiki ya VPN pekee kwenye ile ya umma. Si hivyo, kwa sababu profaili ya mtandao huchagua seti gani ya kanuni za firewall inatumika na haisemi kitu kuhusu adapta ipi ilibeba pakiti. Kuchukua jina la profaili kama sharti la njia ni kosa linalofanya mpango wa kutoka uliozuiwa uonekane umekamilika wakati haujakamilika.

Kwanza andika mitiririko, kisha amua ni utaratibu upi unaweza kutekeleza kila mmoja kwa kweli. Orodha hiyo ya mitiririko ndiyo kitu pekee kinachobaki baada ya mabadiliko ya kanuni yajayo.

Kategoria huchagua kanuni, si njia

Windows inapoainisha mtandao kama wa umma au wa kibinafsi, firewall hutumia seti ya kanuni iliyosanidiwa kwa profaili hiyo. Uainishaji hufuata mtandao ambao adapta ilijiunga nao, na seti ya kanuni huamua kinachoruhusiwa juu yake. Hakuna moja ya ukweli huo inayotegemea kama trafiki ya programu ilitumia handaki. Uhuru huo ndio ugumu wote.

Uchaguzi wa njia hufanywa na uelekezaji, kupitia kipimo cha kiolesura na kiambishi awali ambacho handaki huweka. Kwa hiyo profaili inaweza kuwekwa lebo ya umma wakati muunganisho wa programu unachukua njia halisi, na firewall bado itaripoti kwamba seti ya kanuni ya umma ilitumika.

Ndiyo sababu kanuni iliyo na mipaka kwa profaili haiwezi kumaanisha handaki pekee. Sifa hizo mbili huamuliwa na vipengele tofauti na kimoja hakiwezi kuchukua nafasi ya kingine.

Kuzuia kwa uwazi hushinda ruhusa nyembamba

Mwongozo wa Microsoft kuhusu kanuni za firewall hutofautisha ruhusa kama msamaha kwa hatua ya kuzuia chaguo-msingi na kuzuia kwa uwazi kunakopingana na ruhusa. Kuzuia kwa uwazi hushinda mgongano huo, na kanuni za kutoka hufuata kipaumbele hicho hicho.

Kwa hiyo mapishi maarufu ya kuongeza kanuni inayozuia kila kitu na kutegemea ruhusa nyembamba iliyowekwa juu yake hayafanyi kile mwandishi wake anachotarajia. Windows Firewall haisuluhishi mgongano kwa mpangilio wa kanuni uliopangwa na msimamizi. Kuzuia kunatumika tu, na programu inayounganisha huripoti muda umeisha. Kanuni iliyoonekana kama msamaha haikuwa kamwe kwenye mchezo.

Umbo linaloungwa mkono ni sera ya kukataa chaguo-msingi na kanuni za ruhusa zilizoidhinishwa, ambapo kila ruhusa hutaja programu, huduma au lengwa kwa usahihi wa kutosha kukaguliwa. Mpango huo hustahimili ukaguzi, kwa sababu kila msamaha unaonekana na hakuna hata mmoja unategemea mpangilio ambao uliundwa.

Kanuni mbili zinazopingana ni mbaya kuliko kanuni moja, kwa sababu tabia inayotokana ni sahihi na isiyoelezeka kwa wakati mmoja.

Ipe sera ya kutoka mmiliki mmoja

Mteja wa VPN anayeungwa mkono tayari hudumisha tabia yake ya kuzuia na misamaha yake ya vituo vya mwisho. Kuongeza kanuni za mkono zisizoratibiwa kunaweza kumwacha mteja huyo nje ya handaki analohitaji kwa usanidi, au kuacha njia ya pili wazi ambayo hakuna aliyegundua.

Amua sera ya kutoka inamilikiwa na nani kabla ya kuandika kanuni: usanidi wa mteja mwenyewe, sera ya firewall inayosimamiwa, au orodha ya misamaha ya ndani iliyoandikwa na mmiliki. Kisha linganisha tabaka badala ya kurundika majaribio hadi kitu kiunganishwe. Mmiliki aliyetajwa pia ni yule unayemuuliza tabaka mbili zinapokosana.

Hifadhi njia ya urejeshaji kabla ya kubadilisha kitu chochote. Mashine ya mbali iliyofungwa nje ya njia yake ya usimamizi ni matokeo mabaya kuliko pengo la sera ulilokuwa ukifunga. Kanuni ya urejeshaji ni rahisi kuhalalisha ikiwa imeandikwa mapema, na rahisi kuipata mabadiliko yanapokwenda kombo saa ambayo hakuna anayefurahia.

Jaribu matokeo manne badala ya kusoma lebo

Sera ni nzuri kwa kiasi inavyotofautisha kesi, kwa hiyo chukua lebo ya profaili kama mahali pa kuanzia na si matokeo. Matokeo manne yanakuambia ikiwa inafanya kazi: ombi lililokusudiwa la LAN linafanikiwa, ombi la intaneti lililofunikwa linafanikiwa, ombi la moja kwa moja lililokatazwa linashindwa, na kesi ya kushindwa kwa handaki ina tabia kama ilivyoundwa badala ya kurudi nyuma kimya kimya. Andika matokeo manne karibu na mabadiliko ya kanuni. Mpango wa majaribio wenye kesi nne zilizotajwa ni mfupi vya kutosha kuendeshwa kila mara na mahususi vya kutosha kushindwa kwa sauti kubwa.

Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias
Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction
Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block |
  Select-Object DisplayName,Profile

Amri ya kwanza inaonyesha jinsi kila mtandao uliounganishwa umeainishwa, jambo ambalo mara nyingi si lile ambalo mtu aliyeandika kanuni alidhani. Ya pili inaonyesha kitendo cha chaguo-msingi kwa kila profaili, na ya tatu inaorodhesha vizuizi vya kutoka vilivyowezeshwa, ikiwa ni pamoja na vile vitakavyobatilisha kimya kimya ruhusa nyembamba.

Endesha kesi nne tena baada ya mabadiliko ya mtandao, kwa sababu profaili inaweza kuainishwa upya mashine inapoingia mtandao mwingine. Lebo ya profaili inayolingana si ushahidi kwamba njia ilikuwa ile uliyokusudia.