Firewall ya Windows pekee kama swichi ya dharura ya VPN: inashikilia?

Uliza kama firewall ya Windows inaweza yenyewe kutumika kama swichi ya dharura na utapata majibu mawili ya kujiamini na yasiyopatana. Moja linasema kanuni ya aina ya kiolesura inafanya kazi yote; lingine linasema haifanyi kazi bila skripti. Yote mawili yanaeleza nusu ya utaratibu mmoja. Firewall inaweza kuonyesha kuzuia, na kama matokeo kweli yanashindwa kwa kufungwa inategemea mambo matatu: jinsi Windows inavyoainisha adapta ya handaki, kama msamaha wa njia ya mwisho unabaki, na kama utatuzi wa majina na IPv6 vimefunikwa. Kosea mojawapo na mashine itavuja au itapoteza muunganisho wote.

Masharti matatu, kwa mpangilio huu

Sharti la kwanza ni uainishaji, na linaamua kama kanuni unayotaka inaweza hata kuonyeshwa. Kanuni za firewall ya Windows zinaweza kupunguzwa kwa aina ya kiolesura: yenye waya, bila waya au ufikiaji wa mbali. Sera inayozuia trafiki ya kutoka kwenye aina za kimwili na kuruhusu handaki inafanya kazi tu ikiwa Windows inatambua handaki kama ufikiaji wa mbali.

Sharti la pili ni msamaha wa njia ya mwisho. Kabla handaki yoyote haijakuwepo, mteja anapaswa kufikia seva ya VPN kupitia adapta ya kimwili, kwa hiyo kuzuia kikamilifu adapta hiyo huzuia muunganisho hasa ambao ungefanya kuzuia huko kuwa bila sababu. Msamaha unapaswa kutaja seva na bandari yake, na pakiti inapaswa kutoka kupitia lango la kimwili badala ya kuingia kwenye handaki ambayo bado haijainuka.

La tatu ni ufunikaji. Seti ya kanuni inayozuia IPv4 na kusahau IPv6, au inayoruhusu kitatuzi cha ndani kutafuta njia ya mwisho na hivyo kuruhusu kila utafutaji mwingine, inashindwa kwa wazi katika dirisha hasa ambalo swichi ipo kwa ajili yake. Hilo ni pengo la usanifu, si hitilafu ya firewall. Pia ni pengo linalostahimili kila jaribio mezani.

Uainishaji ndio lango la kwanza

Angalia Windows inafikiria nini kuhusu adapta kabla ya kuandika kanuni moja. Muunganisho asilia wa VPN wa Windows kawaida huonekana kama ufikiaji wa mbali. Mteja wa mtu wa tatu anayeunda adapta yake pepe mara nyingi huonekana kama yenye waya, ikimaanisha kwamba kuzuia kulikoegemea adapta zenye waya pia huzuia handaki.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundAction

Amri ya tatu inakuambia kama kuzuia kwa chaguo-msingi kwa trafiki ya kutoka tayari kunatumika, jambo linalobadilisha umbo lote la usanifu. Ikiwa chaguo-msingi tayari ni kuzuia, unaandika kanuni za kuruhusu na si msamaha kwa msingi unaoruhusu, na hiyo ni msimamo rahisi zaidi kufikiria.

Ikiwa adapta yako ya handaki inajitangaza kama yenye waya, firewall pekee si chombo sahihi kwa usanifu unaoshindwa kwa kufungwa, na hakuna marekebisho ya kanuni yanayobadilisha hilo. Hii ndiyo kesi ambayo maoni ya pili katika kila mjadala wa jukwaa ni sahihi.

Msamaha wa njia ya mwisho unahitaji njia pamoja na kanuni

Tuseme uainishaji unafanya kazi. Msamaha una sehemu mbili, na zinaishi katika mifumo midogo tofauti. Kanuni ya firewall inaruhusu trafiki; njia ya mwenyeji inaifanya itoke kupitia kiolesura sahihi wakati handaki iko chini.

New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
  -Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32

Bila njia, msamaha unasaidia tu wakati njia ya chaguo-msingi bado inaelekeza kwenye lango la kimwili. Mteja anapoweka njia yake ya chaguo-msingi kisha kufa, pakiti zilizoruhusiwa hazina mahali pa maana pa kwenda na muunganisho hauwezi kuanzishwa upya. Kushindwa huko kunaonekana kama mteja aliyeharibika na kwa kweli ni njia inayokosekana.

Weka msamaha mwembamba kadiri mteja anavyoruhusu. Anwani moja na bandari moja zinaweza kukaguliwa; masafa yanayofunika mtandao wote wa mtoa huduma hayana. Kanuni hiyo pana pia inaruhusu kitu kingine chochote kinachopangishwa kwa mtoa huduma yule yule, ambayo kawaida ni zaidi ya ulivyokusudia.

DNS na IPv6 ndiko kunakoshindwa kwa wazi

Utatuzi wa majina ndio uvujaji wa kawaida. Ikiwa njia ya mwisho ni jina la mwenyeji, mteja anapaswa kuutatua kabla handaki haijakuwepo, ikimaanisha adapta ya kimwili inapaswa kuruhusiwa kufikia kitatuzi. Ruhusa hiyo hiyo huruhusu kila utafutaji mwingine kutoka wakati handaki iko chini, na utafutaji mmoja unatosha kufichua kile ulichokuwa unakaribia kutembelea.

IPv6 ndilo la pili. Kanuni zilizoandikwa kwa IPv4 hazifuniki familia nyingine, na wateja wengi huweka njia za IPv4 pekee. Kwa hiyo mashine yenye muunganisho asilia wa IPv6 inaweza kuendelea kuzungumza na mtandao wakati upande wa IPv4 umezuiwa kwa nguvu, na swichi inaripoti mafanikio muda wote.

Mstari wa tatu unafaa kueleweka badala ya kuepukwa. Firewall huamua kuhusu pakiti, si kuhusu kiolesura kipi ambacho programu iliomba kutumia, na programu inayojifunga kwa uwazi inaweza kuwa ngumu kudhibiti. Hiyo ni hoja kwa swichi ya upande wa mteja inayofanya kazi chini ya programu, si kwa kanuni zaidi.

Jaribu kwa kusimamisha mteja, si kwa kuvuta kebo

Jaribio pekee lenye maana ni lile linaloiga kushindwa unakolinda dhidi yake. Simamisha huduma, ua mchakato, au zima adapta iliyoundwa na mteja, kisha jaribu kufikia mtandao na jina:

Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443

Yote matatu yanapaswa kushindwa. Ikiwa la kwanza linafanikiwa, kuzuia hakuna nguvu; ikiwa la pili linafanikiwa mahali ambapo la kwanza lilishindwa, una uvujaji wa DNS; ikiwa la tatu linafanikiwa, IPv6 haijafunikwa. Kila matokeo yanaelekeza hasa kwenye moja ya mapengo hapo juu.

Rudia jaribio baada ya usingizi na kuamka, kwa sababu profaili ya firewall inaweza kubadilika Windows inapoamua kuwa mtandao ni wa umma au wa faragha, na kanuni zilizowekwa kwa profaili zinaifuata. Ubunifu unaostahimili mezani na kushindwa kwenye treni ni ubunifu uliojaribiwa mara moja.

Ikiwa lango la uainishaji au hitaji la DNS linafanya mbinu ya firewall-pekee isiwezekane, swichi ya upande wa mteja ni jibu la uaminifu. Ikiwa handaki inaishia kwenye kipanga njia badala yake, sera inapaswa kuwa ya kipanga njia, kwa sababu kanuni moja hapo inafunika kila kifaa kilicho nyuma yake na haitegemei jinsi Windows inavyoita adapta.