Windows ஃபயர்வால் மட்டும் VPN நிறுத்து சுவிட்சாக: நிலைக்குமா?
இடைமுக வகை விதிகள் இயற்பியல் அடாப்டர்களைத் தடுக்கலாம், ஆனால் மூன்றாம் தரப்பு சுரங்கப்பாதை பெரும்பாலும் கம்பி உள்ளதாகத் தோன்றுகிறது. வகைப்பாடு, முனைப்புள்ளி வழி, பின்னர் DNS சரிபார்க்கவும்.
Windows ஃபயர்வால் தனியாக அவசர நிறுத்து சுவிட்சாக செயல்பட முடியுமா என்று கேட்டால் நம்பிக்கையான ஆனால் பொருந்தாத இரண்டு பதில்கள் கிடைக்கும். ஒன்று இடைமுக வகை விதியே முழு வேலையையும் செய்கிறது என்கிறது; மற்றொன்று ஸ்கிரிப்ட்டுகள் இல்லாமல் செயல்படாது என்கிறது. இரண்டும் ஒரே பொறிமுறையின் பாதியை விவரிக்கின்றன. ஃபயர்வால் தடையை வெளிப்படுத்த முடியும், முடிவு உண்மையில் மூடிய நிலையில் தோல்வியடைகிறதா என்பது மூன்று விஷயங்களைப் பொறுத்தது: Windows சுரங்கப்பாதை அடாப்டரை எவ்வாறு வகைப்படுத்துகிறது, முனைப்புள்ளி விலக்கு நிலைத்திருக்கிறதா, மற்றும் பெயர் தீர்வு மற்றும் IPv6 உள்ளடக்கப்பட்டுள்ளதா. இவற்றில் ஒன்றைத் தவற விட்டால் இயந்திரம் கசியும் அல்லது அனைத்து இணைப்பையும் இழக்கும்.
மூன்று நிபந்தனைகள், இந்த வரிசையில்
முதல் நிபந்தனை வகைப்பாடு, நீங்கள் விரும்பும் விதி எழுத்தில் வெளிப்படுத்தக்கூடியதா என்பதை அது தீர்மானிக்கிறது. Windows ஃபயர்வால் விதிகளை இடைமுக வகையால் வரம்பிடலாம்: கம்பி, கம்பியற்ற அல்லது தொலை அணுகல். இயற்பியல் வகைகளில் வெளிச்செல்லும் போக்குவரத்தைத் தடுத்து சுரங்கப்பாதையை அனுமதிக்கும் கொள்கை, Windows சுரங்கப்பாதையை தொலை அணுகலாக அங்கீகரித்தால் மட்டுமே செயல்படும்.
இரண்டாம் நிபந்தனை முனைப்புள்ளி விலக்கு. எந்த சுரங்கப்பாதையும் இருப்பதற்கு முன், வாடிக்கையாளர் இயற்பியல் அடாப்டர் வழியாக VPN சேவையகத்தை அடைய வேண்டும், எனவே அந்த அடாப்டரில் முழுத் தடையும் தடையை தேவையற்றதாக்கும் அந்த இணைப்பையே தடுக்கிறது. விலக்கில் சேவையகமும் அதன் துறையும் பெயரிடப்பட வேண்டும், மேலும் பொதி இன்னும் எழாத சுரங்கப்பாதைக்குள் அல்ல, இயற்பியல் நுழைவாயில் வழியாக வெளியேற வேண்டும்.
மூன்றாவது பரப்பு. IPv4 தடுத்து IPv6 மறக்கும், அல்லது முனைப்புள்ளி தேடலுக்கு உள்ளூர் தீர்வியை அனுமதித்து அதன் மூலம் மற்ற ஒவ்வொரு தேடலுக்கும் அனுமதிக்கும் விதித் தொகுப்பு, சுவிட்ச் இருக்கும் அதே சாளரத்தில் திறந்த நிலையில் தோல்வியடைகிறது. இது வடிவமைப்பு இடைவெளி, ஃபயர்வால் குறை அல்ல. மேசையில் நடக்கும் ஒவ்வொரு சோதனையையும் தாண்டி நிற்கும் இடைவெளியும் இதுவே.
வகைப்பாடே முதல் வாசல்
ஒரு விதியும் எழுதுவதற்கு முன் Windows அடாப்டர்களைப் பற்றி என்ன நினைக்கிறது என்று பாருங்கள். Windows இன் சொந்த VPN இணைப்பு பொதுவாக தொலை அணுகலாகத் தோன்றும். தனது சொந்த மெய்நிகர் அடாப்டரை உருவாக்கும் மூன்றாம் தரப்பு வாடிக்கையாளர் பெரும்பாலும் கம்பி உள்ளதாகத் தோன்றும், அதாவது கம்பி அடாப்டர்களுக்கு வரம்பிடப்பட்ட தடை சுரங்கப்பாதையையும் தடுக்கிறது.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionமூன்றாவது கட்டளை இயல்புநிலை வெளிச்செல்லும் தடை ஏற்கனவே நடைமுறையில் உள்ளதா என்பதைச் சொல்கிறது, இது வடிவமைப்பின் முழு வடிவத்தையும் மாற்றுகிறது. இயல்புநிலை ஏற்கனவே தடையாக இருந்தால், அனுமதிக்கும் அடிப்படைக்கு விலக்குகள் அல்ல, அனுமதி விதிகளை எழுதுகிறீர்கள், அதைப் பற்றி சிந்திப்பது மிக எளிது.
உங்கள் சுரங்கப்பாதை அடாப்டர் கம்பி உள்ளதாகத் தெரிவித்தால், மூடிய தோல்வி வடிவமைப்புக்கு ஃபயர்வால் மட்டும் சரியான கருவி அல்ல, எவ்வளவு விதிகளை மாற்றினாலும் அது மாறாது. ஒவ்வொரு மன்ற இழையிலும் இரண்டாவது கருத்து சரியாக இருக்கும் நிலை இதுவே.
முனைப்புள்ளி விலக்குக்கு விதியுடன் வழியும் தேவை
வகைப்பாடு செயல்படுகிறது என்று வைத்துக்கொள்வோம். விலக்கு இரண்டு பகுதிகளைக் கொண்டது, அவை வெவ்வேறு துணை அமைப்புகளில் வாழ்கின்றன. ஃபயர்வால் விதி போக்குவரத்தை அனுமதிக்கிறது; புரவலன் வழி சுரங்கப்பாதை கீழே இருக்கும்போது அதை சரியான இடைமுகம் வழியாக வெளியேற்றுகிறது.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32வழி இல்லாமல், இயல்புநிலை வழி இன்னும் இயற்பியல் நுழைவாயிலை நோக்கிக் காட்டும் வரை மட்டுமே விலக்கு உதவும். வாடிக்கையாளர் தனது சொந்த இயல்புநிலை வழியை நிறுவி பின்னர் இறந்தால், அனுமதிக்கப்பட்ட பொதிகளுக்கு அர்த்தமுள்ள இடம் இல்லை, இணைப்பை மீண்டும் நிறுவ முடியாது. அந்தத் தோல்வி உடைந்த வாடிக்கையாளரைப் போலத் தோன்றும், உண்மையில் காணாமல் போன வழி.
வாடிக்கையாளர் அனுமதிக்கும் அளவுக்கு விலக்கைக் குறுகலாக வைத்திருங்கள். ஒரு முகவரியும் ஒரு துறையும் மதிப்பாய்வு செய்யக்கூடியவை; வழங்குநரின் முழு வலையமைப்பையும் உள்ளடக்கும் வரம்பு அல்ல. அந்த பரந்த விதி அதே வழங்குநரில் வழங்கப்படும் மற்ற அனைத்தையும் அனுமதிக்கிறது, அது பொதுவாக நீங்கள் நினைத்ததை விட அதிகம்.
DNS மற்றும் IPv6 என்பவை அது திறந்து தோல்வியடையும் இடங்கள்
பெயர் தீர்வு என்பது பாரம்பரிய கசிவு. முனைப்புள்ளி புரவலன் பெயராக இருந்தால், சுரங்கப்பாதை இருப்பதற்கு முன் வாடிக்கையாளர் அதைத் தீர்க்க வேண்டும், அதாவது இயற்பியல் அடாப்டருக்கு தீர்வியை அடைய அனுமதி வழங்க வேண்டும். அதே அனுமதி சுரங்கப்பாதை கீழே இருக்கும்போது மற்ற ஒவ்வொரு தேடலையும் வெளியே அனுப்புகிறது, ஒரு தேடலே நீங்கள் பார்க்கப் போனதை வெளிப்படுத்த போதும்.
IPv6 இரண்டாவது. IPv4 க்காக எழுதப்பட்ட விதிகள் மற்ற குடும்பத்தை உள்ளடக்கவில்லை, பல வாடிக்கையாளர்கள் IPv4 வழிகளை மட்டுமே நிறுவுகின்றனர். எனவே சொந்த IPv6 இணைப்பு உள்ள இயந்திரம் IPv4 பக்கம் உறுதியாகத் தடுக்கப்பட்டிருந்தும் இணையத்துடன் பேசுவதைத் தொடரலாம், சுவிட்ச் எல்லா நேரமும் வெற்றியைத் தெரிவிக்கும்.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
மூன்றாவது வரியைத் தவிர்ப்பதை விடப் புரிந்துகொள்வது மதிப்புள்ளது. ஃபயர்வால் பொதிகளைப் பற்றி முடிவெடுக்கிறது, ஒரு பயன்பாடு எந்த இடைமுகத்தைப் பயன்படுத்தக் கேட்டது என்பதைப் பற்றி அல்ல, மேலும் வெளிப்படையாகப் பிணைக்கும் நிரலைக் கட்டுப்படுத்துவது கடினமாக இருக்கலாம். இது பயன்பாட்டின் கீழ் செயல்படும் வாடிக்கையாளர் பக்க சுவிட்சுக்கான வாதம், கூடுதல் விதிகளுக்கானது அல்ல.
கம்பியை இழுப்பதால் அல்ல, வாடிக்கையாளரை நிறுத்தி சோதிக்கவும்
அர்த்தமுள்ள ஒரே சோதனை நீங்கள் தடுக்கும் தோல்வியைப் பின்பற்றுவதே. சேவையை நிறுத்துங்கள், செயல்முறையைக் கொல்லுங்கள், அல்லது வாடிக்கையாளர் உருவாக்கிய அடாப்டரை முடக்குங்கள், பின்னர் இணையத்தையும் ஒரு பெயரையும் அடைய முயற்சிக்கவும்:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443மூன்றும் தோல்வியடைய வேண்டும். முதல் வெற்றி பெற்றால் தடை நடைமுறையில் இல்லை; முதல் தோல்வியடைந்த இடத்தில் இரண்டாவது வெற்றி பெற்றால் உங்களுக்கு DNS கசிவு உள்ளது; மூன்றாவது வெற்றி பெற்றால் IPv6 உள்ளடக்கப்படவில்லை. ஒவ்வொரு முடிவும் மேலே உள்ள இடைவெளிகளில் சரியாக ஒன்றைக் காட்டுகிறது.
தூக்கம் மற்றும் விழிப்புக்குப் பிறகு சோதனையை மீண்டும் செய்யுங்கள், ஏனெனில் Windows ஒரு வலையமைப்பு பொது அல்லது தனிப்பட்டது என்று முடிவெடுக்கும்போது ஃபயர்வால் சுயவிவரம் மாறலாம், சுயவிவரத்திற்கு வரம்பிடப்பட்ட விதிகள் அதைப் பின்பற்றும். மேசையில் நிலைத்து ரயிலில் தோல்வியடையும் வடிவமைப்பு ஒரு முறை சோதிக்கப்பட்ட வடிவமைப்பு.
வகைப்பாடு வாசல் அல்லது DNS தேவை ஃபயர்வால்-மட்டும் அணுகுமுறையை நடைமுறைக்கு உகந்ததாக்காவிட்டால், வாடிக்கையாளர் பக்க சுவிட்ச் தான் நேர்மையான பதில். சுரங்கப்பாதை அதற்குப் பதிலாக திசைவியில் முடிந்தால், கொள்கை திசைவிக்குரியதாக இருக்க வேண்டும், ஏனெனில் அங்கு ஒரு விதி அதன் பின்னால் உள்ள ஒவ்வொரு சாதனத்தையும் உள்ளடக்கி, Windows அடாப்டரை எப்படி அழைக்கிறது என்பதைப் பொறுத்தது அல்ல.