ஃபயர்வால் சுயவிவரங்கள் மற்றும் VPN வெளியேற்றம்: பொதுவானது ஏன் பாதை அல்ல
ஃபயர்வால் சுயவிவரம் எந்த விதித் தொகுப்பு பொருந்தும் என்பதைத் தேர்ந்தெடுக்கிறது. பாக்கெட்டை எந்த இடைமுகம் எடுத்துச் சென்றது என்பதை அது கூறுவதில்லை, மேலும் வெளிப்படையான தடுப்பு குறுகிய அனுமதியை வெல்கிறது.
விதி துல்லியமாகத் தெரிகிறது: தனிப்பட்ட சுயவிவரத்தில் உள்ளூர் போக்குவரத்திற்கும், பொதுவானதில் VPN போக்குவரத்திற்கு மட்டும் அனுமதி அளிக்கவும். ஆனால் அப்படி இல்லை, ஏனெனில் பிணைய சுயவிவரம் எந்த ஃபயர்வால் விதித் தொகுப்பு பொருந்தும் என்பதைத் தேர்ந்தெடுக்கிறது, பாக்கெட்டை எந்த அடாப்டர் எடுத்துச் சென்றது என்பதைக் கூறுவதில்லை. சுயவிவரத்தின் பெயரைப் பாதைத் தேவையாகக் கருதுவது, கட்டுப்படுத்தப்பட்ட வெளியேற்ற வடிவமைப்பு முடிக்கப்படாதபோதும் முடிந்ததாகத் தோன்றச் செய்யும் தவறு.
முதலில் ஓட்டங்களை எழுதுங்கள், பிறகு ஒவ்வொன்றையும் உண்மையில் நடைமுறைப்படுத்தக்கூடிய பொறிமுறை எது என்று முடிவு செய்யுங்கள். அந்த ஓட்டப் பட்டியலே அடுத்த விதி மாற்றத்தைத் தாண்டி நிற்கும் ஒரே உருவாக்கம்.
வகை விதிகளைத் தேர்ந்தெடுக்கிறது, பாதைகளை அல்ல
Windows ஒரு பிணையத்தைப் பொதுவானதாகவோ தனிப்பட்டதாகவோ வகைப்படுத்தும்போது, ஃபயர்வால் அந்தச் சுயவிவரத்திற்கு உள்ளமைக்கப்பட்ட விதித் தொகுப்பைப் பயன்படுத்துகிறது. வகைப்பாடு அடாப்டர் இணைந்த பிணையத்தைப் பின்பற்றுகிறது, விதித் தொகுப்பு அதில் எது அனுமதிக்கப்படுகிறது என்பதைத் தீர்மானிக்கிறது. இந்த உண்மைகளில் எதுவும் ஒரு பயன்பாட்டின் போக்குவரத்து சுரங்கத்தைப் பயன்படுத்தியதா என்பதைச் சார்ந்திருக்கவில்லை. அந்தச் சுதந்திரமே முழு சிரமம்.
பாதைத் தேர்வை வழியமைப்பு செய்கிறது, இடைமுக அளவீடு மற்றும் சுரங்கம் நிறுவும் முன்னொட்டு வழியாக. எனவே ஒரு சுயவிவரம் பொதுவானது என்று லேபிளிடப்படலாம், அதே நேரத்தில் ஒரு பயன்பாட்டின் இணைப்பு இயற்பியல் பாதையை எடுக்கிறது, ஃபயர்வால் இருந்தாலும் பொது விதித் தொகுப்பு பயன்படுத்தப்பட்டதாகத் தெரிவிக்கும்.
எனவே சுயவிவரத்திற்கு மட்டுப்படுத்தப்பட்ட விதி சுரங்கம் மட்டும் என்று பொருள் கொள்ள முடியாது. இந்த இரண்டு பண்புகளையும் வெவ்வேறு கூறுகள் தீர்மானிக்கின்றன, ஒன்று மற்றொன்றுக்குப் பதிலாக நிற்க முடியாது.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
வெளிப்படையான தடுப்பு குறுகிய அனுமதியை வெல்கிறது
Microsoft இன் ஃபயர்வால் விதி வழிகாட்டல், இயல்புநிலைத் தடுப்பு நடவடிக்கைக்கான அனுமதி விலக்கிற்கும் அனுமதியுடன் முரண்படும் வெளிப்படையான தடுப்பிற்கும் இடையே வேறுபாடு காட்டுகிறது. வெளிப்படையான தடுப்புகள் அந்த முரண்பாட்டில் வெல்கின்றன, வெளிச்செல்லும் விதிகளும் அதே முன்னுரிமையைப் பின்பற்றுகின்றன.
எனவே எல்லாவற்றையும் தடுக்கும் விதியைச் சேர்த்து அதன் மேல் வைக்கப்பட்ட குறுகிய அனுமதியை நம்பும் பிரபல செய்முறை அதன் ஆசிரியர் எதிர்பார்ப்பதைச் செய்யவில்லை. Windows Firewall நிர்வாகி ஒதுக்கிய விதி வரிசையால் முரண்பாட்டைத் தீர்க்கவில்லை. தடுப்பு வெறுமனே பொருந்துகிறது, இணைக்கும் பயன்பாடு நேரம் முடிந்ததாகத் தெரிவிக்கிறது. விலக்கைப் போலத் தோன்றிய விதி ஒருபோதும் ஆட்டத்தில் இல்லை.
ஆதரிக்கப்படும் வடிவம் அங்கீகரிக்கப்பட்ட அனுமதி விதிகளுடன் கூடிய இயல்புநிலை மறுப்புக் கொள்கை, அங்கு ஒவ்வொரு அனுமதியும் ஒரு நிரல், சேவை அல்லது இலக்கை மதிப்பாய்வு செய்யக்கூடிய அளவு துல்லியமாகப் பெயரிடுகிறது. அந்த வடிவமைப்பு தணிக்கையைத் தாங்கும், ஏனெனில் ஒவ்வொரு விலக்கும் தெரிகிறது, அவற்றில் எதுவும் உருவாக்கப்பட்ட வரிசையைச் சார்ந்திருக்கவில்லை.
ஒன்றுக்கொன்று முரண்படும் இரண்டு விதிகள் ஒரு விதியை விட மோசம், ஏனெனில் விளையும் நடத்தை ஒரே நேரத்தில் சரியானதும் விளக்க முடியாததும் ஆகும்.
வெளிச்செல்லும் கொள்கைக்கு ஒரே உரிமையாளரைக் கொடுங்கள்
ஆதரிக்கப்படும் VPN கிளையண்ட் ஏற்கனவே தனது சொந்தத் தடுப்பு நடத்தையையும் தனது சொந்த முனைப்புள்ளி விலக்குகளையும் பராமரிக்கிறது. ஒருங்கிணைக்கப்படாத கைமுறை விதிகளைச் சேர்ப்பது அந்தக் கிளையண்டை அமைப்பிற்குத் தேவையான சுரங்கத்திற்கு வெளியே விட்டுவிடலாம், அல்லது யாரும் கவனிக்காத இரண்டாவது பாதையைத் திறந்து விடலாம்.
விதிகளை எழுதும் முன் வெளிச்செல்லும் கொள்கை யாருக்குச் சொந்தம் என்று முடிவு செய்யுங்கள்: கிளையண்டின் சொந்த உள்ளமைவு, நிர்வகிக்கப்படும் ஃபயர்வால் கொள்கை, அல்லது உரிமையாளருடன் ஆவணப்படுத்தப்பட்ட உள்ளூர் விலக்குப் பட்டியல். பிறகு ஏதாவது இணையும் வரை பரிசோதனைகளைக் குவிப்பதற்குப் பதிலாக அடுக்குகளை ஒருங்கிணைக்கவும். பெயரிடப்பட்ட உரிமையாளரே இரண்டு அடுக்குகள் உடன்படாதபோது கேட்கப்படும் நபர்.
எதையும் மாற்றும் முன் மீட்பு வழியைப் பாதுகாக்கவும். தனது சொந்த நிர்வாகப் பாதையிலிருந்து பூட்டப்பட்ட தொலை இயந்திரம், நீங்கள் மூடிக்கொண்டிருந்த கொள்கை இடைவெளியை விட மோசமான முடிவு. மீட்பு விதி முன்கூட்டியே எழுதப்பட்டிருந்தால் நியாயப்படுத்த எளிது, யாருக்கும் பிடிக்காத நேரத்தில் மாற்றம் தவறாகும்போது கண்டுபிடிக்கவும் எளிது.
லேபிளைப் படிப்பதற்குப் பதிலாக நான்கு முடிவுகளைச் சோதிக்கவும்
கொள்கை என்பது அது வேறுபடுத்தும் நிகழ்வுகளின் அளவே, எனவே சுயவிவர லேபிளை முடிவாக அல்ல, தொடக்கப் புள்ளியாகக் கருதுங்கள். நான்கு முடிவுகள் அது வேலை செய்கிறதா என்பதைக் கூறும்: எண்ணப்பட்ட LAN கோரிக்கை வெற்றி பெறுகிறது, உள்ளடக்கப்பட்ட இணையக் கோரிக்கை வெற்றி பெறுகிறது, தடைசெய்யப்பட்ட நேரடிக் கோரிக்கை தோல்வியடைகிறது, சுரங்கத் தோல்வி நிகழ்வு அமைதியாகப் பின்வாங்குவதற்குப் பதிலாக வடிவமைத்தபடி நடந்துகொள்கிறது. நான்கு முடிவுகளையும் விதி மாற்றத்திற்கு அருகில் எழுதுங்கள். நான்கு பெயரிடப்பட்ட நிகழ்வுகளைக் கொண்ட சோதனைத் திட்டம் ஒவ்வொரு முறையும் இயக்கும் அளவு குறுகியது, சத்தமாகத் தோல்வியடையும் அளவு குறிப்பானது.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
முதல் கட்டளை ஒவ்வொரு இணைக்கப்பட்ட பிணையமும் எவ்வாறு வகைப்படுத்தப்பட்டுள்ளது என்பதைக் காட்டுகிறது, இது பெரும்பாலும் விதியை எழுதியவர் கருதியதாக இருக்காது. இரண்டாவது ஒவ்வொரு சுயவிவரத்திற்கும் இயல்புநிலை நடவடிக்கையைக் காட்டுகிறது, மூன்றாவது இயக்கப்பட்ட வெளிச்செல்லும் தடுப்புகளைப் பட்டியலிடுகிறது, குறுகிய அனுமதியை அமைதியாக ரத்து செய்யும் தடுப்புகள் உட்பட.
பிணைய மாற்றத்திற்குப் பிறகு நான்கு நிகழ்வுகளையும் மீண்டும் இயக்குங்கள், ஏனெனில் இயந்திரம் வேறு பிணையத்தில் இணையும்போது சுயவிவரம் மீண்டும் வகைப்படுத்தப்படலாம். பொருந்தும் சுயவிவர லேபிள் பாதை நீங்கள் நினைத்ததுதான் என்பதற்கான ஆதாரம் அல்ல.