Ping hufanya kazi upande mmoja tu: kwa nini Windows hutupa mwangwi wa seva

Mteja wako anapinga seva, seva haiwezi kumpinga mteja, na handaki kwa uwazi linabeba pakiti katika kauli hizo mbili. Kinachotofautiana si njia bali pakiti ya kwanza ya kila jaribio: moja ni jibu kwa mtiririko ambao Windows tayari unaufuatilia, lingine ni ombi jipya linaloingia ambalo hakuna kanuni iliyoliruhusu. Tofauti hiyo inaeleza ripoti nyingi za ping ya upande mmoja na inaelekeza moja kwa moja kwenye kanuni unayopaswa kuandika. Majaribio mawili katika mielekeo pinzani hutenganisha hali hizo kwa takriban dakika moja.

Mielekeo miwili, maamuzi mawili tofauti

Mteja anapotuma ombi la mwangwi, firewall ya Windows huona muunganisho unaotoka ambao imeamua kuuruhusu. Jibu hurudi ndani ya mtiririko huo ulioanzishwa, kwa hiyo injini inayofuatilia hali huiruhusu bila kuuliza kanuni yoyote ya kuingia kwa ICMP. Hiyo ndiyo maana ya uchujaji wa kihali kwa vitendo, na kanuni ambayo hakuna mtu aliyeandika haihusiki. Kwa hiyo mafanikio ya mteja hayasemi chochote kuhusu sera ya kuingia.

Seva inapotuma ombi kwanza, hakuna hali inayolingana nalo. Windows huchukulia pakiti kama muunganisho mpya unaoingia na huuliza sera ya kuingia, ambayo kwa msingi haitoi chochote kwa maombi ya mwangwi yanayotoka kwenye vyanzo holela.

Kwa hiyo mafanikio ya mteja yalithibitisha kuwa ICMP inayotoka na njia ya kurudi zinafanya kazi. Haikupima kamwe uamuzi wa kuingia, na hitimisho la kawaida, kwamba firewall iko sawa, ni la busara na si sahihi. Ndiyo sababu kosa hilo hujirudia katika tiketi ambazo tayari zina ushahidi.

Fuatilia pakiti hadi itakapotoweka

Thibitisha anwani kabla ya kubadilisha chochote: tumia anwani ya handaki ambayo mteja anayo kweli, na hakikisha seva inaelekeza huko na si kwa anwani ya LAN nyuma ya mteja. Hitilafu hizo mbili huonekana sawa kutoka kwa amri ya seva, kwa sababu zote huishia kwa muda kuisha. Pakiti inapokufa ndilo tendo pekee linaloamua nini cha kubadilisha.

Ikiwa ombi linafika kwenye kiolesura cha handaki na hakuna kinachotoka, firewall ya ndani ndiyo sababu inayowezekana. Ikiwa halifiki kwenye kiolesura kamwe, jibu liko juu: njia kwenye seva, sera inayotoka, au usambazaji wa rika wa VPN yenyewe.

Nasa kwenye kiolesura cha handaki cha mteja wakati seva inapinga. Kuona ombi likija bila jibu kando yake ni ushahidi unaohalalisha kuandika kanuni ya Windows. Kutoona chochote hukuelekeza juu, na kanuni inayoongezwa katika hali hiyo huifanya mashine kuwa mtepetelevu zaidi kwa pakiti ambayo haikufika kamwe. Kwa vyovyote vile unasi wa gharama ndogo kuliko makisio inayobadilisha.

Weka kanuni moja badala ya kufungua ICMP

Tambua adapta na kategoria yake ya sasa kabla ya kuandika chochote, kwa sababu zote zinaonekana katika wigo unaokaribia kuweka. Jina hilo la utani ni jina la kiolesura cha Windows, ambalo si lazima liwe jina la wasifu wa VPN ulioutumia. Amri zilizo chini zinaorodhesha kilichopo, kisha zinaonyesha hakikisho la kanuni iliyowekewa mipaka bila kuitumia.

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 aina 8 ni ombi la mwangwi, ujumbe pekee ambao seva inahitaji jibu lake. Weka kwenye anwani ya handaki ya seva na kwenye kiolesura cha handaki, na acha wasifu kama adapta ilivyo kweli. Kubadilisha jina la mtandao ili ulingane na mfano ni mabadiliko tofauti yenye athari zake.

Kile kanuni haikifuniki

Mwangwi wa IPv6 ni itifaki nyingine yenye aina nyingine ya ujumbe, kwa hiyo kanuni ya ICMPv4 haisemi chochote kuihusu, na handaki linalobeba familia zote mbili linahitaji kanuni yake kwa ile nyingine. Kanuni hii pia haifungui kitu kingine: RDP, kushiriki faili na kila huduma nyingine bado zinategemea sera zao. Hilo ndilo lengo lote la kuweka kanuni moja nyembamba badala ya kuwezesha ruhusa pana ya ICMP. Ruhusa pana ndiyo suluhisho rahisi na linalodumu kwa muda mrefu zaidi, kwa sababu baadaye hakuna anayeiona.

Kwenye kifaa kinachosimamiwa kanuni inaweza kubadilishwa kwenye usasishaji ujao wa sera, kwa hiyo mmiliki wa sera anapaswa kufanya mabadiliko sawa na si msimamizi wa ndani. Andika nia kwenye tiketi pamoja na amri, kwa sababu usasishaji utafuta amri na kuacha hitaji likiwa kama lilivyo. Hivyo viwili si kitu kimoja, na kimoja tu ndicho kinachobaki.

Soma matokeo katika mwelekeo sahihi

Baada ya kanuni kuanza kutumika, pinga kutoka kwa seva na uthibitishe kuwa jibu linafika kwa mteja, kisha pinga kutoka kwa chanzo kinachopaswa kubaki kimetengwa na uthibitishe kuwa halifiki. Rudia jaribio la ufikivu kwenye familia nyingine ya anwani ikiwa handaki linabeba moja.

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

Kuchapisha kanuni iliyoanza kutumika ni muhimu zaidi kuliko kuamini amri iliyoiumba, kwa sababu hakikisho na kanuni iliyotumika ni hali mbili tofauti. Ikiwa chujio cha anwani kinaonyesha chanzo ulichokusudia na chanzo kilichotengwa bado kinaisha kwa muda, kanuni inafanya kwa usahihi kile wigo wake unasema. Ping iliyofanikiwa kutoka kwa mteja isingelionyesha hilo kamwe, ndiyo sababu mwelekeo wa kila jaribio unamiliki rekodi kando ya matokeo yake. Weka mielekeo yote miwili kwenye tiketi, la sivyo msomaji anayefuata atarudia jaribio ambalo haliwezi kushindwa.