ఫైర్‌వాల్ ప్రొఫైల్స్ మరియు VPN ఈగ్రెస్: పబ్లిక్ ఎందుకు మార్గం కాదు
ఫైర్‌వాల్ ప్రొఫైల్ ఏ నియమ సమూహం వర్తిస్తుందో ఎంచుకుంటుంది. ప్యాకెట్‌ను ఏ ఇంటర్‌ఫేస్ మోసుకెళ్లిందో అది చెప్పదు, మరియు స్పష్టమైన నిరోధం సన్నని అనుమతిని ఓడిస్తుంది.
నియమం ఖచ్చితంగా వినిపిస్తుంది: ప్రైవేట్ ప్రొఫైల్‌లో స్థానిక ట్రాఫిక్‌కు, పబ్లిక్‌లో VPN ట్రాఫిక్‌కు మాత్రమే అనుమతి ఇవ్వండి. కానీ అలా కాదు, ఎందుకంటే నెట్‌వర్క్ ప్రొఫైల్ ఏ ఫైర్‌వాల్ నియమ సమూహం వర్తిస్తుందో ఎంచుకుంటుంది మరియు ప్యాకెట్‌ను ఏ అడాప్టర్ మోసుకెళ్లిందో చెప్పదు. ప్రొఫైల్ పేరును మార్గ అవసరంగా పరిగణించడం, పరిమిత ఈగ్రెస్ డిజైన్ పూర్తి కాకపోయినా పూర్తయినట్లు కనిపించేలా చేసే తప్పు.
మొదట ప్రవాహాలను రాయండి, తర్వాత ప్రతి ఒక్కటి నిజంగా అమలు చేయగల యంత్రాంగం ఏదో నిర్ణయించండి. ఆ ప్రవాహ జాబితా మాత్రమే తదుపరి నియమ మార్పును తట్టుకుని నిలిచే ఏకైక కృతి.
వర్గం నియమాలను ఎంచుకుంటుంది, మార్గాలను కాదు
Windows నెట్‌వర్క్‌ను పబ్లిక్ లేదా ప్రైవేట్‌గా వర్గీకరించినప్పుడు, ఫైర్‌వాల్ ఆ ప్రొఫైల్ కోసం కాన్ఫిగర్ చేసిన నియమ సమూహాన్ని వర్తింపజేస్తుంది. వర్గీకరణ అడాప్టర్ చేరిన నెట్‌వర్క్‌ను అనుసరిస్తుంది, నియమ సమూహం దానిపై ఏమి అనుమతించబడిందో నిర్ణయిస్తుంది. ఈ వాస్తవాలలో ఏదీ అప్లికేషన్ ట్రాఫిక్ టన్నెల్‌ను ఉపయోగించిందో లేదో దానిపై ఆధారపడదు. ఆ స్వాతంత్ర్యమే మొత్తం కష్టం.
మార్గ ఎంపికను రూటింగ్ చేస్తుంది, ఇంటర్‌ఫేస్ మెట్రిక్ మరియు టన్నెల్ ఇన్‌స్టాల్ చేసే ప్రిఫిక్స్ ద్వారా. కాబట్టి ఒక ప్రొఫైల్ పబ్లిక్‌గా లేబుల్ చేయబడవచ్చు, అయితే అప్లికేషన్ కనెక్షన్ భౌతిక మార్గాన్ని తీసుకుంటుంది, ఫైర్‌వాల్ అయినా పబ్లిక్ నియమ సమూహం వర్తించిందని నివేదిస్తుంది.
అందుకే ప్రొఫైల్‌కు పరిమితమైన నియమం టన్నెల్ మాత్రమే అని అర్థం కాదు. ఈ రెండు లక్షణాలను వేర్వేరు భాగాలు నిర్ణయిస్తాయి మరియు ఒకటి మరొకదానికి ప్రత్యామ్నాయంగా నిలవలేదు.
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
స్పష్టమైన నిరోధం సన్నని అనుమతి కంటే పైన ఉంటుంది
Microsoft యొక్క ఫైర్‌వాల్ నియమ మార్గదర్శకం డిఫాల్ట్ నిరోధ చర్యకు మినహాయింపుగా అనుమతి మరియు అనుమతితో ఘర్షణ పడే స్పష్టమైన నిరోధం మధ్య భేదం చూపుతుంది. స్పష్టమైన నిరోధాలు ఆ ఘర్షణలో గెలుస్తాయి, అవుట్‌బౌండ్ నియమాలు కూడా అదే ప్రాధాన్యతను పాటిస్తాయి.
అందుకే అన్నింటినీ నిరోధించే నియమాన్ని జోడించి దానిపై ఉంచిన సన్నని అనుమతిపై ఆధారపడే ప్రసిద్ధ వంటకం దాని రచయిత ఆశించినది చేయదు. Windows Firewall నిర్వాహకుడు కేటాయించిన నియమ క్రమంతో ఘర్షణను పరిష్కరించదు. నిరోధం కేవలం వర్తిస్తుంది, కనెక్ట్ అయ్యే అప్లికేషన్ సమయం ముగిసిందని నివేదిస్తుంది. మినహాయింపులా కనిపించిన నియమం ఎప్పుడూ ఆటలో లేదు.
మద్దతు ఉన్న రూపం ఆమోదించిన అనుమతి నియమాలతో కూడిన డిఫాల్ట్ నిరాకరణ విధానం, ఇక్కడ ప్రతి అనుమతి ప్రోగ్రామ్, సేవ లేదా గమ్యాన్ని సమీక్షించగలిగేంత ఖచ్చితంగా పేర్కొంటుంది. ఆ డిజైన్ ఆడిట్‌ను తట్టుకుంటుంది, ఎందుకంటే ప్రతి మినహాయింపు కనిపిస్తుంది మరియు వాటిలో ఏదీ సృష్టించిన క్రమంపై ఆధారపడదు.
ఒకదానికొకటి విరుద్ధమైన రెండు నియమాలు ఒక నియమం కంటే దారుణం, ఎందుకంటే ఫలిత ప్రవర్తన ఒకే సమయంలో సరైనది మరియు వివరించలేనిది.
అవుట్‌బౌండ్ విధానానికి ఒకే యజమానిని ఇవ్వండి
మద్దతు ఉన్న VPN క్లయింట్ ఇప్పటికే తన సొంత నిరోధ ప్రవర్తనను మరియు తన సొంత ఎండ్‌పాయింట్ మినహాయింపులను నిర్వహిస్తుంది. సమన్వయం లేని మాన్యువల్ నియమాలను జోడించడం ఆ క్లయింట్‌ను సెటప్‌కు అవసరమైన టన్నెల్ వెలుపల ఉంచవచ్చు, లేదా ఎవరూ గమనించని రెండవ మార్గాన్ని తెరిచి ఉంచవచ్చు.
నియమాలు రాసే ముందు అవుట్‌బౌండ్ విధానం ఎవరిదో నిర్ణయించండి: క్లయింట్ యొక్క సొంత కాన్ఫిగరేషన్, నిర్వహించబడే ఫైర్‌వాల్ విధానం, లేదా యజమానితో పాటు పత్రీకరించిన స్థానిక మినహాయింపు జాబితా. తర్వాత ఏదో కనెక్ట్ అయ్యే వరకు ప్రయోగాలను పోగు చేయడం బదులు పొరలను సమన్వయపరచండి. పేరు పెట్టిన యజమాని రెండు పొరలు ఏకీభవించనప్పుడు అడిగే వ్యక్తి కూడా.
ఏదైనా మార్చే ముందు పునరుద్ధరణ మార్గాన్ని కాపాడండి. తన సొంత నిర్వహణ మార్గం నుండి బయట లాక్ అయిన రిమోట్ మెషిన్ మీరు మూస్తున్న విధాన లోటు కంటే దారుణమైన ఫలితం. పునరుద్ధరణ నియమం ముందుగానే రాసి ఉంటే సమర్థించడం సులభం, ఎవరికీ ఇష్టం లేని సమయంలో మార్పు తప్పుగా జరిగినప్పుడు కనుగొనడం కూడా సులభం.
లేబుల్ చదవడం బదులు నాలుగు ఫలితాలను పరీక్షించండి
విధానం అది వేరు చేసే సందర్భాలన్ని విలువైనది, కాబట్టి ప్రొఫైల్ లేబుల్‌ను ఫలితం కాదు, ప్రారంభ బిందువుగా పరిగణించండి. నాలుగు ఫలితాలు అది పనిచేస్తుందో లేదో చెబుతాయి: ఉద్దేశించిన LAN అభ్యర్థన విజయవంతమవుతుంది, కవర్ చేయబడిన ఇంటర్నెట్ అభ్యర్థన విజయవంతమవుతుంది, నిషేధించబడిన ప్రత్యక్ష అభ్యర్థన విఫలమవుతుంది, మరియు టన్నెల్ వైఫల్య సందర్భం నిశ్శబ్దంగా వెనక్కి తగ్గకుండా డిజైన్ ప్రకారం ప్రవర్తిస్తుంది. నాలుగు ఫలితాలను నియమ మార్పు పక్కన రాయండి. నాలుగు పేరు పెట్టిన సందర్భాలతో కూడిన పరీక్షా ప్రణాళిక ప్రతిసారీ అమలు చేయగలిగేంత చిన్నది మరియు గట్టిగా విఫలమయ్యేంత నిర్దిష్టమైనది.
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
మొదటి ఆదేశం ప్రతి కనెక్ట్ అయిన నెట్‌వర్క్ ఎలా వర్గీకరించబడిందో చూపుతుంది, ఇది తరచుగా నియమం రాసిన వ్యక్తి ఊహించినది కాదు. రెండవది ప్రతి ప్రొఫైల్‌కు డిఫాల్ట్ చర్యను చూపుతుంది, మూడవది ప్రారంభించిన అవుట్‌బౌండ్ నిరోధాలను జాబితా చేస్తుంది, సన్నని అనుమతిని నిశ్శబ్దంగా రద్దు చేసేవి సహా.
నెట్‌వర్క్ మార్పు తర్వాత నాలుగు సందర్భాలను మళ్లీ అమలు చేయండి, ఎందుకంటే మెషిన్ మరో నెట్‌వర్క్‌లో చేరినప్పుడు ప్రొఫైల్ మళ్లీ వర్గీకరించబడవచ్చు. సరిపోయే ప్రొఫైల్ లేబుల్ మార్గం మీరు ఉద్దేశించినదే అని రుజువు కాదు.