VPN நிலையுடன் இணைக்கப்பட்ட ஃபயர்வால் நுழைவாயில் ஏன் சுரங்கப்பாதையில் மட்டும் ping விதி அல்ல

பெயரிடப்பட்ட VPN சுயவிவரம் இணைக்கப்படும் ஒவ்வொரு முறையும் சேவையகத்தின் பொது முகவரிக்கு ICMP echo-ஐ இயக்கும் ஃபயர்வால் விதியை கற்பனை செய்யுங்கள். இது «சுரங்கப்பாதை வழியாக மட்டும் ping» என்று படிக்கப்படுகிறது, அந்த வாசிப்பு முக்கியமான வகையில் தவறானது. விதி யார் ஹோஸ்ட்டை அடையலாம் என்பதைக் கட்டுப்படுத்தவில்லை; வேறொரு இணைப்பு தற்செயலாக இயங்கும்போது பொது இடைமுகம் எதற்குப் பதிலளிக்கிறது என்பதை மாற்றுகிறது. இவை இரண்டு வெவ்வேறு கொள்கைகள், அவற்றில் ஒன்று அமைதியாக வெளிப்பாட்டை விரிவாக்குகிறது.

நீங்கள் எழுதியதாக நினைக்கும் விதி

எதிர்பார்க்கப்படும் தேவை பொதுவாக குறுகியது: கண்காணிப்பு அமைப்பு, அல்லது VPN-இல் உள்ள ஒரே நிர்வாகி, சேவையகம் உயிருடன் இருப்பதை உறுதிப்படுத்த முடிய வேண்டும். வாக்கியமாக எழுதும்போது அது சுரங்கப்பாதையில் அணுகல் கட்டுப்பாடு போல ஒலிக்கிறது. ஃபயர்வால் பொருளாக எழுதும்போது அது பொது சுயவிவரத்தில் ஒரு நிபந்தனை ஆகிறது, ஏனெனில் echo கோரிக்கை அங்கேதான் வருகிறது.

நிபந்தனை மூல முகவரிக்குப் பதிலாக இணைப்பு நிலையாக மாறியதும், அனுமதிக்கப்பட்ட அனுப்புநர்களின் தொகுப்பு இனி VPN துணைவர்களின் தொகுப்பு அல்ல. பொது முகவரியை அடையக்கூடிய யாரும் நுழைவாயில் திறந்திருக்கும் போது echo கோரிக்கையை அனுப்பலாம். சுரங்கப்பாதை பாதையாக மாறவில்லை; சுரங்கப்பாதை சுவிட்சாக மாறியது.

இந்தக் கருத்தை முன்னிறுத்துபவர்கள் பொதுவாகத் தாங்கள் விரும்பிய விளைவைப் பற்றிப் பொய் சொல்வதில்லை. இணைப்பு ஆரோக்கியமாக இருக்கும்போது மட்டும் பதிலளிக்கும் சரிபார்ப்பு அவர்களுக்குத் தேவைப்பட்டது, இணைப்பின் ஆரோக்கியத்தை VPN வழியாகக் கவனிப்பது மிக எளிதாக இருந்தது. தவறு என்பது கிடைக்கும் தன்மையின் சமிக்ஞையை அணுகல் முடிவாகக் கருதி, பின்னர் அதைத் தானியங்கியாக்குவது.

நுழைவாயில் உண்மையில் என்ன கட்டுப்படுத்துகிறது

இந்த வடிவமைப்பு இரண்டு சுயாதீன விஷயங்களை இணைக்கிறது, அவற்றைப் பிரிப்பதே திருத்தத்தின் பெரும்பகுதி. முதலாவது எல்லை: எந்த உள்ளூர் முகவரி, எந்த தொலை முகவரிகள், எந்த நெறிமுறை மற்றும் எந்த ICMP வகை. இரண்டாவது நிபந்தனை: விதியின் பொருள் இந்தக் கணத்தில் இயக்கப்பட்டுள்ளதா. எல்லை என்பது ஃபயர்வால் ஒவ்வொரு பாக்கெட்டிலும் மதிப்பிடுவது; நிபந்தனை என்பது ஸ்கிரிப்ட் கொள்கைக் கிடங்கில் எழுதுவது, இரண்டும் முற்றிலும் வெவ்வேறு கடிகாரங்களில் ஒத்திசைக்கப்படுகின்றன.

தேவை உண்மையிலேயே VPN துணைவர்கள் மட்டும் என்றால், எந்த இணைப்பு-நிலை தர்க்கமும் இல்லாமல் எல்லையே அதற்குப் பதிலளிக்கிறது: விதியை சுரங்கப்பாதை இடைமுகத்திற்கோ சுரங்கப்பாதை முகவரி வரம்பிற்கோ பிணைக்கவும், தொலை முகவரிகளை வாடிக்கையாளர் குழுமத்திற்கு வரம்பிடவும், «ICMP»-க்குப் பதிலாக echo வகையைக் குறிப்பிடவும். எந்த VPN-உம் இயங்காதபோதும் அந்த விதி சரியாகவே இருக்கும், தொடர்பற்ற சுயவிவரம் அதைத் திறக்க முடியாது.

தேவை உண்மையிலேயே பொது நுழைவாயில் என்றால், ஏற்பு அளவுகோல்கள் மாறுவதால், அதைக் கொள்கை உரையில் சொல்லுங்கள். பொது நுழைவாயில் சரியான சுயவிவரத்தைப் பெயரிட வேண்டும், «இணைக்கப்பட்டது» என்பதன் பொருளை வரையறுக்க வேண்டும், பொது அனுப்புநர்கள் வடிவமைப்பின்படி எல்லைக்குள் இருப்பதை அறிவிக்க வேண்டும். யாராவது அந்த வாக்கியத்தை எழுத கட்டாயப்படுத்தப்படும் தருணத்தில் பெரும்பாலான குழப்பம் மறைந்துவிடும்.

பொருளை ஒரு முறை கட்டி, பிறகு மாற்றவும்

நிலையான அடையாளத்துடன் ஒரு விதியை முன்கூட்டியே, முடக்கப்பட்ட நிலையில் தயார் செய்யுங்கள், கட்டுப்படுத்தி அதன் இயக்க நிலையை மட்டும் மாற்றட்டும். ஒவ்வொரு இயக்கத்திலும் காட்சிப் பெயரால் விதிகளை உருவாக்குவதே கொள்கைக் கிடங்கு ஐந்து கிட்டத்தட்ட ஒரே மாதிரியான பொருட்களுடன், அவற்றை அகற்ற நம்பகமான வழியின்றி முடிவடையும் பாதை.

New-NetFirewallRule -Name "VpnGateEchoV4" -DisplayName "Public echo gated on VPN state" -Direction Inbound -Action Allow -Protocol ICMPv4 -IcmpType 8 -LocalAddress 203.0.113.10 -RemoteAddress Any -Enabled False
Set-NetFirewallRule -Name "VpnGateEchoV4" -Enabled True

பெயர் நிலையான அடையாளங்காட்டி; காட்சிப் பெயர் மனிதர் திருத்தக்கூடிய ஆவணம். -Name-இல் ஒத்திசைக்கவும், ஸ்கிரிப்ட் நகல்களை உருவாக்குவதை நிறுத்தும். அதே கட்டளை வடிவம் IPv6 வழக்கை -Protocol ICMPv6 -IcmpType 128 உடன் உள்ளடக்குகிறது, ஆனால் அது தனி விதி, ஏனெனில் echo வகை எண்கள் இரு குடும்பங்களுக்கிடையே வேறுபடுகின்றன.

முகவரிக் குடும்பத்தையும் ICMP வகையையும் வெளிப்படையாக வைத்திருங்கள், இரண்டாவது காரணமும் உண்டு: -Protocol ICMPv4 வகை இல்லாமல் சுயவிவரம் அனுமதிக்கும் ஒவ்வொரு ICMPv4 செய்தியையும் அனுமதிக்கிறது, நீங்கள் ஒருபோதும் ஏற்க நினைக்காதவை உட்பட. வகை 8-ஐப் பெயரிடுவது விதியை echo கோரிக்கைக்குச் சுருக்குகிறது, அணுகல் சரிபார்ப்பு அனுப்புவது அதை மட்டுமே.

தானியக்கம் நோக்கத்திற்கு முரண்படும் இடம்

ஒவ்வொரு சில நிமிடங்களுக்கும் வாடிக்கையாளர் சுயவிவரத்தை விசாரிப்பது உடனடி எல்லையை உருவாக்க முடியாது. இணைப்பு விழுந்ததிலிருந்து அடுத்த விசாரணை வரை விதி பொது முகவரியில் பதிலளிக்கும்; இணைப்பு எழுந்ததிலிருந்து அடுத்த விசாரணை வரை பதிலளிக்காது. அந்தத் தாமதத்தை ஒப்புக்கொள்வது நேர்மையானது, வடிவமைப்பு கடுமையான மாறாத்தன்மையைத் திணிக்கிறது என்று கூறுவது நேர்மையல்ல.

நிலைச் சரிபார்ப்பிலேயே எல்லைப் பொறி உள்ளது. Get-VpnConnection இயந்திரத்தில் அமைக்கப்பட்ட வாடிக்கையாளர் சுயவிவரங்களைத் தெரிவிக்கிறது, இயல்பாக தற்போதைய பயனருக்கும் -AllUserConnection உடன் அனைத்துப் பயனர்களுக்கும். தற்போது RRAS சேவையகத்தில் டயல்-இன் செய்துள்ள தொலைப் பயனர்களை அது தெரிவிக்கவில்லை; அது வேறு கட்டளையுடன் கூடிய வேறு கவனிப்பு. தவறானதின் மீது கட்டப்பட்ட நுழைவாயில் எதனுடனும் இணைக்கப்படவில்லை.

பிறகு யாரும் ஸ்கிரிப்ட் செய்யாத நிலைகளை மூடுங்கள்: முந்தைய இயக்கத்திலிருந்து விதி ஏற்கனவே இயக்கப்பட்டிருப்பதுடன் தொடக்கம், நுழைவாயில் திறந்திருக்கும் போது கட்டுப்படுத்தி செயலிழத்தல், விதி உயிருடன் இருக்கும்போது சுயவிவரம் நீக்கப்படுதல். ஒவ்வொன்றுக்கும் வரையறுக்கப்பட்ட இயல்புநிலை தேவை, பொது அனுமதிக்கான பாதுகாப்பான இயல்புநிலை முடக்கப்பட்டது. தேவை விசாரணைச் சாளரத்தை உண்மையில் தாங்க முடியாவிட்டால், நிலை-பிணைப்பு விதி தவறான கருவி, அமலாக்கம் சுரங்கப்பாதையிடம் இருக்க வேண்டும், பொது இடைமுகத்திடம் அல்ல.

இறுதியாக, பொது கோரிக்கையை இரு முறை சோதியுங்கள், ஒரு முறை தேர்ந்தெடுத்த இணைப்பு இயங்கும்போது, ஒரு முறை அது நிறுத்தப்பட்டிருக்கும்போது, VPN-இல் இல்லாத ஹோஸ்ட்டிலிருந்து. சுரங்கப்பாதைக்குள் இருந்து வெற்றிகரமான ping இந்தக் கொள்கை பற்றி எதையும் நிரூபிக்காது, அதுவே பெரும்பாலான பயன்பாடுகள் தவிர்க்கும் அளவீடு.