Kwa nini lango la firewall linalohusishwa na hali ya VPN si kanuni ya ping kupitia handaki pekee

Fikiria kanuni ya firewall inayowasha ICMP echo kwa anwani ya umma ya seva kila wakati wasifu wa VPN uliotajwa umeunganishwa. Inasomwa kama «ping kupitia handaki pekee», na usomaji huo ni makosa kwa namna inayojalisha. Kanuni haizuii nani anaweza kufikia mwenyeji; inabadilisha kile ambacho kiolesura cha umma hujibu wakati muunganisho mwingine kwa bahati uko hai. Hizi ni sera mbili tofauti, na moja yao huongeza mfiduo kwa kimya.

Kanuni unayodhani umeiandika

Mahitaji yaliyokusudiwa kwa kawaida ni finyu: mfumo wa ufuatiliaji, au msimamizi mmoja kwenye VPN, unapaswa kuweza kuthibitisha kwamba seva iko hai. Ikiandikwa kama sentensi, inasikika kama udhibiti wa ufikiaji kwenye handaki. Ikiandikwa kama kitu cha firewall, inakuwa sharti kwenye wasifu wa umma, kwa sababu ndipo ombi la echo hufika.

Mara sharti linapokuwa hali ya muunganisho badala ya anwani ya chanzo, seti ya watumaji wanaoruhusiwa si seti ya wenzi wa VPN tena. Yeyote anayeweza kufikia anwani ya umma anaweza kutuma ombi la echo wakati lango liko wazi. Handaki halikukuwa njia; handaki likawa swichi.

Wanaokuza wazo hili kwa kawaida hawasemi uongo kuhusu athari waliyoitaka. Walihitaji ukaguzi unaojibu tu wakati kiungo kiko salama, na afya ya kiungo ilikuwa rahisi kuzingatiwa kupitia VPN. Kosa ni kuchukua ishara ya upatikanaji kama uamuzi wa ufikiaji, kisha kuifanya otomatiki.

Lango husimamia nini kwa hakika

Muundo huu unachanganya vitu viwili huru, na kuvitenganisha ndio sehemu kubwa ya marekebisho. Kwanza ni wigo: anwani gani ya ndani, anwani zipi za mbali, itifaki gani na aina gani ya ICMP. Pili ni sharti: kama kitu cha kanuni kimewashwa kwa sasa. Wigo ni kile ambacho firewall hutathmini kwa kila pakiti; sharti ni kile ambacho script huandika kwenye hazina ya sera, na vyote viwili hupatanishwa kwa saa tofauti kabisa.

Kama hitaji ni kweli wenzi wa VPN pekee, wigo hujibu bila mantiki yoyote ya hali ya muunganisho: funga kanuni kwenye kiolesura cha handaki au kwenye masafa ya anwani za handaki, weka kikomo cha anwani za mbali kwa kundi la wateja, na taja aina ya echo badala ya «ICMP». Kanuni hiyo hubaki sahihi wakati hakuna VPN inayoendesha, na wasifu usiohusiana hauwezi kuifungua.

Kama hitaji ni kweli lango la umma, liseme hilo katika maandishi ya sera, kwa sababu vigezo vya kukubali hubadilika. Lango la umma lazima litaje wasifu kamili, lifafanue maana ya «imeunganishwa», na litangaze kwamba watumaji wa umma wako ndani ya wigo kwa muundo. Machafuko mengi hupotea wakati mtu analazimishwa kuandika sentensi hiyo.

Jenga kitu mara moja, kisha kibadilishe

Andaa mapema kanuni moja yenye utambulisho thabiti, imezimwa, na acha kidhibiti kibadilishe hali yake ya kuwashwa pekee. Kuunda kanuni kwa jina la kuonyesha katika kila uendeshaji ndio njia ambayo hazina ya sera huishia na vitu vitano karibu sawa na bila njia ya kuaminika ya kuondoa.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

Jina ni kitambulisho cha kudumu; jina la kuonyesha ni nyaraka ambazo mtu anaweza kuhariri. Patanisha kwa -Name na script itaacha kutoa nakala. Umbo hilo hilo la amri linashughulikia kesi ya IPv6 kwa -Protocol ICMPv6 -IcmpType 128, lakini hiyo ni kanuni tofauti kwa sababu namba za aina ya echo zinatofautiana kati ya familia mbili.

Weka familia ya anwani na aina ya ICMP wazi kwa sababu ya pili: -Protocol ICMPv4 bila aina huruhusu kila ujumbe wa ICMPv4 ambao wasifu unaruhusu, ikiwa ni pamoja na wale ambao hukuwahi kukusudia kukubali. Kutaja aina 8 hupunguza kanuni kwa ombi la echo, na ndiyo kitu pekee ambacho ukaguzi wa ufikikaji hutuma.

Ambapo uendeshaji otomatiki unapingana na nia

Kuhoji wasifu wa mteja kila baada ya dakika chache hakuwezi kutoa mpaka wa papo hapo. Kati ya muunganisho kuanguka na uhoji unaofuata kanuni bado hujibu kwenye anwani ya umma; kati ya muunganisho kupanda na uhoji unaofuata haijibu. Kukiri ucheleweshaji huo ni uaminifu, na kudai kwamba muundo unalazimisha hali isiyobadilika kali si uaminifu.

Kuna mtego wa wigo katika ukaguzi wa hali wenyewe. Get-VpnConnection huripoti wasifu wa wateja waliowekwa kwenye mashine, kwa chaguo-msingi kwa mtumiaji wa sasa na kwa watumiaji wote kwa -AllUserConnection. Hairipoti watumiaji wa mbali ambao kwa sasa wamepiga simu kwenye seva ya RRAS; hiyo ni uchunguzi mwingine kwa amri nyingine. Lango lililojengwa juu ya lile lisilo sahihi haliunganishwa na kitu chochote.

Kisha funga hali ambazo hakuna mtu anaziandikia script: kuanza na kanuni iliyowashwa tayari kutoka uendeshaji uliopita, kidhibiti kuanguka wakati lango liko wazi, na wasifu kufutwa wakati kanuni yake inabaki hai. Kila moja inahitaji chaguo-msingi lililofafanuliwa, na chaguo-msingi salama kwa ruhusa ya umma ni kuzimwa. Kama hitaji kwa kweli halivumilii dirisha la uhoji, kanuni inayohusishwa na hali ni chombo kisichofaa na utekelezaji unamilikiwa na handaki, si kiolesura cha umma.

Hatimaye, jaribu ombi la umma mara mbili, mara moja muunganisho uliochaguliwa ukiwa hai na mara moja ukiwa umekatika, kutoka kwa mwenyeji asiye kwenye VPN. Ping iliyofanikiwa kutoka ndani ya handaki haithibitishi chochote kuhusu sera hii, na hicho ndicho kipimo ambacho usanidi mwingi huacha.