Windows-இன் பொது ஃபயர்வால் சுயவிவரத்தால் VPN கிளையண்டுகள் தடுக்கப்படுகின்றன

உங்கள் டன்னல் இயங்குகிறது, கேட்வே ping-க்கு பதிலளிக்கிறது, கோப்புப் பங்கீடு இன்னும் நேரம் முடிவடைகிறது. இந்தக் கலவை அரிதாகவே ரூட்டிங் பிரச்சினையாக இருக்கும்: Windows VPN அடாப்டரின் சப்நெட்டை பொது சுயவிவரத்தில் வைத்துள்ளது, தனியார் அல்லது டொமைனுக்காக எழுதப்பட்ட ஒவ்வொரு அனுமதி விதியும் ஒருபோதும் பயன்படுத்தப்படவில்லை. அலுவலகத்தை சரியாக அடையும் மடிக்கணினிகளிலும், மற்ற எல்லா கிளையண்டுகளுக்கும் சேவை செய்யும் RRAS சேவையகங்களிலும் இதைச் சந்தித்திருக்கிறேன், தொடர்புடைய சுயவிவரத்தைப் பெயரிட்டால் பழுது சுருக்கமாக இருக்கும். இது எனது வேலை வரிசை, அடுத்த படிக்கு முன் எப்போது நிற்க வேண்டும் என்று சொல்லும் சரிபார்ப்புடன்.

போக்குவரத்து உண்மையில் எந்த சுயவிவரத்தில் வருகிறது என்பதைக் கண்டறியவும்

Windows ஃபயர்வாலுக்கு ஒரே உலகளாவிய பயன்முறை இல்லை. இணைக்கப்பட்ட ஒவ்வொரு இடைமுகமும் ஒரு வகையைக் கொண்டுள்ளது, உள்வரும் பொதிகள் அவை வரும் இடைமுகத்தின் வகையின்படி வடிகட்டப்படுகின்றன, எனவே டன்னலில் உள்ள கிளையண்ட் எதை அடைய முடியும் என்பதை VPN அடாப்டரின் சுயவிவரம் தீர்மானிக்கிறது, பக்கத்திலுள்ள Wi-Fi அல்லது ஈதர்நெட் அடாப்டர் அல்ல. எதையும் மாற்றுவதற்கு முன் இரண்டு உண்மைகளையும் படியுங்கள்:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

வழக்கமான OpenVPN அல்லது WireGuard நிறுவலில் VPN அடாப்டர் அடையாளம் தெரியாத நெட்வொர்க்காகத் தோன்றி பொது சுயவிவரத்தில் விழும், இது Windows வகைப்படுத்த முடியாத எந்த நெட்வொர்க்கிற்கும் இயல்புநிலை: அதன் மூலம் எந்த டொமைன் கட்டுப்படுத்தியும் பதிலளிக்கவில்லை, எந்த கேட்வே சுயவிவரமும் பொருந்தவில்லை. இடைமுகத்தின் பெயர் இங்கு முக்கியமல்ல, எனவே அடாப்டரை "VPN" அல்லது "Corp" என்று அழைப்பதால் எதுவும் மாறாது. DomainAuthenticated-க்கு டொமைனில் இணைந்த இயந்திரம் தேவை , அது அந்த இடைமுகம் வழியாக உண்மையில் டொமைன் கட்டுப்படுத்தியை அடைய வேண்டும்; ஒரே சப்நெட்டைக் கொண்டு செல்லும் பிளவு டன்னல் இந்த நிபந்தனையை பூர்த்தி செய்யாது.

உங்களுக்குத் தேவையான விதி ஏற்கனவே VPN பூலுக்கு வரம்பிடப்பட்டு, நீங்கள் இப்போது படித்த வகைக்கு ஏற்கனவே பொருந்தினால், இங்கே நிறுத்துங்கள்: வடிகட்டுதல் உங்கள் அடுக்கு அல்ல, அடுத்து பார்க்க வேண்டிய இடம் சேவை உள்ளமைவு. இந்தச் சரிபார்ப்பு பத்து வினாடிகள் எடுக்கும், ஒரு மணி நேர விதி திருத்தத்தைச் சேமிக்கும். வகைகளின் பெயர்களும் ஒவ்வொன்றும் எதை உள்ளடக்குகிறது என்பதும் Get-NetConnectionProfile குறிப்பில் ஆவணப்படுத்தப்பட்டுள்ளது.

விதிகளைத் திருத்துவதற்கு முன் இது ரூட்டிங் அல்ல, வடிகட்டுதல் என்பதை உறுதிசெய்யுங்கள்

Ping பலவீனமான சோதனை. சேவை போர்ட் கைவிடப்படும்போது ICMP கடந்து செல்லலாம், மேலும் ஹோஸ்ட் LAN-இலிருந்து பதிலளிக்கலாம் ஆனால் அதே கோரிக்கையை டன்னல் வழியாக மறுக்கலாம். கிளையண்டிற்குத் தேவையான போர்ட்டை கிளையண்டிலிருந்து சோதிக்கவும்:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

போர்ட் சோதனை தோல்வியடைந்தால் இரண்டு அடுக்குகளையும் பிரிக்கவும். டன்னல் அல்லது பாதை குறைபாடு பொதுவாக கேட்வே முகவரியிலிருந்து எந்தப் பதிலும் இல்லாததாகத் தோன்றும், ஆனால் ஃபயர்வால் நிராகரிப்பு பதிலளிக்கும் கேட்வேயையும் பதிலளிக்காத சேவை போர்ட்டையும் காட்டும். RRAS வழியாக பூலை வெளியிடும் Windows சேவையகத்தில் அதே சோதனையை கிளையண்டிலிருந்து இயக்கி சேவையகத்தின் சொந்த சுயவிவரத்தைப் படியுங்கள்: RAS இடைமுகம் உள்வரும் விதிகள் கிளையண்ட் வரம்பை ஒருபோதும் குறிப்பிடாத வகையில் இருக்கலாம், அதனால்தான் அந்த இயந்திரம் தனது LAN-க்கு சேவை செய்து டன்னலில் உள்ள ஒவ்வொரு கிளையண்டையும் நிராகரிக்கிறது.

முடிவு இன்னும் தெளிவற்றதாக இருந்தால், தொடர்புடைய சுயவிவரத்தின் நிராகரிப்புகளைப் பதிவுசெய்து அவற்றைப் படியுங்கள்:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

கிளையண்டின் முகவரியையும் போர்ட்டையும் DROP உடன் குறிப்பிடும் பதிவுகள் தீர்க்கமானவை, எந்த விதி விடுபட்டது என்பதையும் அவை சொல்கின்றன. எதுவும் இல்லாத பதிவு, கிளையண்டின் SYN ஒருபோதும் தோன்றாதபோது, ஹோஸ்ட்டுக்கு மேலே சுட்டிக்காட்டுகிறது, எனவே மற்றொரு ஃபயர்வால் பொருளைத் தொடுவதற்கு முன் டன்னல், NAT விதி அல்லது பூல் பாதைக்குத் திரும்புங்கள்.

ஒரு உள்வரும் விதியை கிளையண்ட் பூலுக்கு வரம்பிடுங்கள்

பழுது என்பது தொலை முகவரி உலகம் அல்ல, பூல் ஆகும் ஒரே உள்வரும் அனுமதி விதி. உயர்த்தப்பட்ட அமர்விலிருந்து:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

சேவை ஒரே பைனரி கோப்பாக இருந்தால், போர்ட் பட்டியலுக்குப் பதிலாக -Program அளவுருவுடன் நிரல்-வரம்பிட்ட விதிக்கு முன்னுரிமை கொடுங்கள்; இது விலக்கை செயல்முறைக்கும் மூல வரம்பிற்கும் வரம்பிடுகிறது.

சுயவிவரத் தேர்வே அதே தவறு எதிர் திசையில் நடக்கும் இடம். -Profile Public அடாப்டர் பொது மற்றும் பொதுவாகவே இருக்கும்போது போதும். -Profile Any Windows அடாப்டரை எவ்வாறு வகைப்படுத்தினாலும் சேவை இயங்க வேண்டியிருக்கும்போது நியாயமானது, ஆனால் தொலை வரம்பு நீடிக்கும் வரை மட்டுமே. ஒருபோதும் நியாயப்படுத்த முடியாதது -RemoteAddress Any பொது சுயவிவரத்தில்: அந்த விதி மடிக்கணினியுடன் அது இணையும் ஒவ்வொரு கஃபே மற்றும் ஹோட்டல் நெட்வொர்க்கிற்கும் சென்று அந்த சப்நெட்டைப் பகிரும் அனைவருக்கும் போர்ட்டைத் திறக்கிறது.

பூலை விதிக்கு அருகில் பதிவு செய்யுங்கள். -RemoteAddress 10.8.0.0/24 VPN பூல் மறுஎண்ணிடப்படும் நாளில் அமைதியாகப் பொருந்துவதை நிறுத்துகிறது, தோல்வி அசல் பிழையைப் போலவே தெரிகிறது, அதனால்தான் இது மற்றொரு பிற்பகலை எடுக்கிறது. விதிகளுக்கு சேவை மற்றும் மூல வரம்பின் பெயரைக் கொடுங்கள், அவற்றை -Group உடன் வைத்திருங்கள், பூல் வரையறை மாறும்போது அவற்றை மீண்டும் படியுங்கள். ஒரு திரையில் தணிக்கை செய்யக்கூடிய விதி பட்டியல் யாருக்கும் கிடைக்காத சரியான விதியை விட மேலானது.

வகையே முடிவாக இருக்கும்போது மட்டும் வகையை மாற்றுங்கள்

இடைமுகத்தை தனியாருக்கு மாற்றுவதும் வேலை செய்கிறது, அது தவறான இயல்புநிலை. தனியார் சுயவிவரத்தில் பல உள்ளமைந்த அனுமதி விதிகள் உள்ளன, அவை கோப்பு மற்றும் அச்சுப்பொறி பங்கீடு, நெட்வொர்க் கண்டறிதல், தொலை பணிமேசை மற்றும் அடிப்படைக் கோட்டைப் பொறுத்து மேலும் பலவற்றை உள்ளடக்குகின்றன, எனவே VPN அடாப்டரை மறுவகைப்படுத்துவது அவை அனைத்தையும் டன்னலில் உள்ள ஒவ்வொரு கிளையண்டிற்கும் ஒரே நேரத்தில் செயல்படுத்துகிறது. ஒரு வரம்பிட்ட விதி ஒரு சேவையை ஒரு வரம்பிற்கு வழங்குகிறது. நம்பமுடியாத நெட்வொர்க்குகளிலும் இணையும் மடிக்கணினியில் இந்த வேறுபாடு மேலோட்டமானது அல்ல.

வகைப்படுத்தல் உண்மையிலேயே தவறாக இருக்கும் சந்தர்ப்பங்கள் உள்ளன: அலுவலக சப்நெட்டைக் கொண்டு செல்லும் எப்போதும்-இயங்கும் அல்லது தளம்-தளம் டன்னல் நம்பகமான உள்கட்டமைப்பு, அந்த அடாப்டரை தனியார் என்று குறிப்பது ஒருமுறை கொள்கையால் எடுக்கப்படும் சட்டபூர்வ வடிவமைப்பு முடிவு, ஒவ்வொரு டிக்கெட்டிற்கும் அல்ல. செய்யும்போது வெளிப்படையாகச் செய்யுங்கள்:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

நிர்வகிக்கப்படும் சாதனத்தில் முதலில் அமைப்பு ஒரு குழு கொள்கை அல்லது MDM அடிப்படைக் கோட்டின் உடைமையா என்பதைச் சரிபார்க்கவும். இருந்தால், உள்ளூர் மாற்றம் அடுத்த புதுப்பிப்பில் திரும்பப் பெறப்படும், மேலும் gpresult /h அதைக் கொண்டுள்ள கொள்கையைப் பெயரிடும்; அங்கேயே சரிசெய்யுங்கள், முடிவுப்புள்ளியில் அல்ல.

இரு முனைகளிலிருந்தும் சரிபார்த்து ஒரு தடயத்தை விடுங்கள்

மாற்றத்திற்குப் பிறகு பயனர் தெரிவித்த ஓட்டத்தை கிளையண்டிலிருந்து சரிபார்க்கவும்:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

பின்னர் அடுத்த வாரம் உடையும் விஷயங்களில் சுழற்சியை மூடுங்கள். ஹோஸ்ட்டை மறுதொடக்கம் செய்து மீண்டும் சோதிக்கவும், ஏனெனில் தவறான சுயவிவரத்திற்கு வரம்பிடப்பட்ட விதி அடாப்டர் வேறு வகையில் திரும்பும் வரை வேலை செய்கிறது. இரண்டாவது கிளையண்டிலிருந்து சோதிக்கவும், ஏனெனில் காலாவதியான குத்தகை கொண்ட ஒரு கிளையண்ட் பூல் பொருந்தாமையை மறைக்கலாம். சேர்த்த விதிகளை நீக்கிய விதிகளுடன் எண்ணுங்கள், ஏனெனில் மேற்பொருந்தும் விலக்குகள்தான் இரண்டு வரி பழுதை யாரும் மதிப்பாய்வு செய்ய முடியாத வடிகட்டுதல் கொள்கையாக மாற்றும் வழி.

இதை முடிந்தது என்று சொல்வதற்கு முன்:

• விதியில் பெயரிடப்பட்ட சுயவிவரம் போக்குவரத்து வரும் இடைமுகத்தின் சுயவிவரம்.
• தொலை வரம்பு VPN பூல், அந்தப் பூல் சேவையகம் உண்மையில் வழங்குவதுடன் பொருந்துகிறது.
• நீங்கள் சேர்த்த எந்த விதியும் -RemoteAddress Any பொது சுயவிவரத்தில் பயன்படுத்துவதில்லை.
• சோதனை வெற்றிபெற எதுவும் முடக்கப்படவில்லை, ஒவ்வொரு வகை மாற்றமும் யார் அனுமதித்தார்கள் என்பதைப் பதிவு செய்கிறது.