Windows ఫైర్‌వాల్ మాత్రమే VPN ఆపు స్విచ్‌గా: నిలబడుతుందా?
ఇంటర్‌ఫేస్ రకం నియమాలు భౌతిక అడాప్టర్‌లను నిరోధించగలవు, కానీ మూడవ పక్షం సొరంగం తరచుగా తీగ ఉన్నట్లు కనిపిస్తుంది. వర్గీకరణ, ముగింపు బిందువు మార్గం, ఆ తర్వాత DNS తనిఖీ చేయండి.
Windows ఫైర్‌వాల్ ఒంటరిగా అత్యవసర ఆపు స్విచ్‌గా పనిచేయగలదా అని అడిగితే మీకు రెండు నమ్మకమైన కానీ సరిపోలని సమాధానాలు లభిస్తాయి. ఒకటి ఇంటర్‌ఫేస్ రకం నియమమే మొత్తం పని చేస్తుంది అంటుంది; మరొకటి స్క్రిప్ట్‌లు లేకుండా పనిచేయదు అంటుంది. రెండూ ఒకే యంత్రాంగంలో సగాన్ని వివరిస్తాయి. ఫైర్‌వాల్ నిరోధాన్ని వ్యక్తపరచగలదు, ఫలితం నిజంగా మూసివేతలో విఫలమవుతుందా అనేది మూడు విషయాలపై ఆధారపడి ఉంటుంది: Windows సొరంగ అడాప్టర్‌ను ఎలా వర్గీకరిస్తుంది, ముగింపు బిందువు మినహాయింపు నిలిచి ఉంటుందా, మరియు పేరు పరిష్కారం, IPv6 కవర్ చేయబడ్డాయా. వీటిలో ఒకటి తప్పైతే యంత్రం లీక్ అవుతుంది లేదా మొత్తం కనెక్టివిటీని కోల్పోతుంది.
మూడు షరతులు, ఈ క్రమంలో
మొదటి షరతు వర్గీకరణ, మీకు కావలసిన నియమం అసలు వ్యక్తపరచదగినదా అని అది నిర్ణయిస్తుంది. Windows ఫైర్‌వాల్ నియమాలను ఇంటర్‌ఫేస్ రకం ద్వారా పరిమితం చేయవచ్చు: తీగతో, తీగ లేకుండా లేదా దూర ప్రాప్తి. భౌతిక రకాలపై బయటకు వెళ్లే ట్రాఫిక్‌ను నిరోధించి సొరంగానికి అనుమతి ఇచ్చే విధానం Windows సొరంగాన్ని దూర ప్రాప్తిగా గుర్తిస్తే మాత్రమే పనిచేస్తుంది.
రెండవ షరతు ముగింపు బిందువు మినహాయింపు. ఏ సొరంగం ఉనికిలోకి రాకముందు క్లయింట్ భౌతిక అడాప్టర్ ద్వారా VPN సర్వర్‌ను చేరుకోవాలి, కాబట్టి ఆ అడాప్టర్‌పై పూర్తి నిరోధం నిరోధాన్ని అనవసరం చేసే ఆ కనెక్షన్ను సరిగ్గా ఆపుతుంది. మినహాయింపులో సర్వర్ మరియు దాని పోర్ట్ పేర్కొనాలి, ప్యాకెట్ ఇంకా లేవని సొరంగంలోకి కాక భౌతిక గేట్‌వే ద్వారా బయటకు వెళ్లాలి.
మూడవది కవరేజ్. IPv4 నిరోధించి IPv6 మరచిపోయే, లేదా ముగింపు బిందువు అన్వేషణ కోసం స్థానిక పరిష్కర్తకు అనుమతి ఇచ్చి దాని ద్వారా మిగతా ప్రతి అన్వేషణకూ అనుమతించే నియమ సముదాయం స్విచ్ ఉన్న అదే విండోలో తెరిచి విఫలమవుతుంది. ఇది రూపకల్పన లోపం, ఫైర్‌వాల్ దోషం కాదు. మేజా మీద ప్రతి పరీక్షను దాటి నిలిచే లోపం కూడా ఇదే.
వర్గీకరణే మొదటి ద్వారం
ఒక్క నియమం రాయకముందే Windows అడాప్టర్‌ల గురించి ఏమనుకుంటుందో చూడండి. Windows స్వంత VPN కనెక్షన్ సాధారణంగా దూర ప్రాప్తిగా కనిపిస్తుంది. తన సొంత వర్చువల్ అడాప్టర్‌ను సృష్టించే మూడవ పక్షం క్లయింట్ తరచుగా తీగ ఉన్నట్లు కనిపిస్తుంది, అంటే తీగ ఉన్న అడాప్టర్‌లకు పరిమితమైన నిరోధం సొరంగాన్ని కూడా నిరోధిస్తుంది.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionమూడవ ఆదేశం డిఫాల్ట్ బయటకు వెళ్లే నిరోధం ఇప్పటికే అమలులో ఉందా అని చెబుతుంది, ఇది రూపకల్పన మొత్తం ఆకారాన్ని మారుస్తుంది. డిఫాల్ట్ ఇప్పటికే నిరోధం అయితే మీరు అనుమతించే ఆధారానికి మినహాయింపులు కాదు, అనుమతి నియమాలు రాస్తున్నారు, దాని గురించి ఆలోచించడం చాలా సులభం.
మీ సొరంగ అడాప్టర్ తీగ ఉన్నట్లు నివేదిస్తే, మూసివేత వైఫల్య రూపకల్పనకు ఫైర్‌వాల్ మాత్రమే సరైన సాధనం కాదు, ఎన్ని నియమాలు సర్దినా అది మారదు. ప్రతి ఫోరం థ్రెడ్‌లో రెండవ అభిప్రాయం సరైనది అయ్యే సందర్భం ఇదే.
ముగింపు బిందువు మినహాయింపుకు నియమంతో పాటు మార్గం కూడా కావాలి
వర్గీకరణ పనిచేస్తుందని అనుకుందాం. మినహాయింపు రెండు భాగాలతో ఉంటుంది, అవి వేర్వేరు ఉపవ్యవస్థల్లో నివసిస్తాయి. ఫైర్‌వాల్ నియమం ట్రాఫిక్‌ను అనుమతిస్తుంది; హోస్ట్ మార్గం సొరంగం కింద ఉన్నప్పుడు దానిని సరైన ఇంటర్‌ఫేస్ ద్వారా బయటకు పంపుతుంది.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32మార్గం లేకుండా మినహాయింపు డిఫాల్ట్ మార్గం ఇంకా భౌతిక గేట్‌వే వైపు చూపుతున్నంత కాలం మాత్రమే సహాయపడుతుంది. క్లయింట్ తన సొంత డిఫాల్ట్ మార్గాన్ని ఇన్‌స్టాల్ చేసి తర్వాత చనిపోతే, అనుమతించిన ప్యాకెట్‌లకు అర్థవంతంగా వెళ్లడానికి చోటు ఉండదు, కనెక్షన్ తిరిగి స్థాపించలేము. ఆ వైఫల్యం విరిగిన క్లయింట్‌లా కనిపిస్తుంది, నిజానికి మిస్ అయిన మార్గం.
క్లయింట్ అనుమతించినంత కొద్దిగా మినహాయింపును ఉంచండి. ఒక చిరునామా మరియు ఒక పోర్ట్ సమీక్షించదగినవి; సేవా ప్రదాత మొత్తం నెట్‌వర్క్‌ను కవర్ చేసే పరిధి కాదు. ఆ విస్తృత నియమం అదే ప్రదాత వద్ద హోస్ట్ చేయబడిన మిగతా అన్నింటికీ అనుమతిస్తుంది, అది సాధారణంగా మీరు ఉద్దేశించిన దానికంటే ఎక్కువ.
DNS మరియు IPv6 ఇవి తెరిచి విఫలమయ్యే ప్రదేశాలు
పేరు పరిష్కారం సాంప్రదాయ లీక్. ముగింపు బిందువు హోస్ట్ పేరు అయితే, సొరంగం ఉనికిలోకి రాకముందే క్లయింట్ దాన్ని పరిష్కరించాలి, అంటే భౌతిక అడాప్టర్‌కు పరిష్కర్తను చేరుకోవడానికి అనుమతి ఇవ్వాలి. అదే అనుమతి సొరంగం కింద ఉన్నప్పుడు మిగతా ప్రతి అన్వేషణను బయటకు పంపుతుంది, ఒక అన్వేషణ చాలు మీరు చూడబోతున్నది వెల్లడించడానికి.
IPv6 రెండవది. IPv4 కోసం రాసిన నియమాలు మరొక కుటుంబాన్ని కవర్ చేయవు, చాలా క్లయింట్‌లు IPv4 మార్గాలను మాత్రమే ఇన్‌స్టాల్ చేస్తాయి. అందువల్ల స్వంత IPv6 కనెక్టివిటీ ఉన్న యంత్రం IPv4 వైపు గట్టిగా నిరోధించబడి ఉన్నా ఇంటర్నెట్‌తో మాట్లాడటం కొనసాగించగలదు, స్విచ్ అంతా విజయాన్ని నివేదిస్తూనే ఉంటుంది.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
మూడవ వరుసను తప్పించుకోవడం కంటే అర్థం చేసుకోవడం మంచిది. ఫైర్‌వాల్ ప్యాకెట్‌ల గురించి నిర్ణయిస్తుంది, ఒక అనువర్తనం ఏ ఇంటర్‌ఫేస్ ఉపయోగించాలని అడిగింది అనే దాని గురించి కాదు, స్పష్టంగా బైండ్ అయ్యే ప్రోగ్రామ్‌ను నియంత్రించడం కష్టం కావచ్చు. ఇది అనువర్తనం కింద పనిచేసే క్లయింట్-వైపు స్విచ్‌కు అనుకూలమైన వాదన, ఎక్కువ నియమాలకు కాదు.
కేబుల్ లాగడం ద్వారా కాదు, క్లయింట్‌ను ఆపి పరీక్షించండి
అర్థవంతమైన ఏకైక పరీక్ష మీరు రక్షించుకునే వైఫల్యాన్ని అనుకరించేది. సేవను ఆపండి, ప్రక్రియను చంపండి, లేదా క్లయింట్ సృష్టించిన అడాప్టర్‌ను నిష్క్రియం చేయండి, ఆ తర్వాత ఇంటర్నెట్ మరియు ఒక పేరును చేరుకోవడానికి ప్రయత్నించండి:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443మూడూ విఫలం కావాలి. మొదటిది విజయవంతమైతే నిరోధం అమలులో లేదు; మొదటిది విఫలమైన చోట రెండవది విజయవంతమైతే మీకు DNS లీక్ ఉంది; మూడవది విజయవంతమైతే IPv6 కవర్ చేయబడలేదు. ప్రతి ఫలితం పైనున్న లోపాల్లో సరిగ్గా ఒకటి వైపు చూపుతుంది.
నిద్ర మరియు మేల్కొలుపు తర్వాత పరీక్షను పునరావృతం చేయండి, ఎందుకంటే Windows నెట్‌వర్క్ పబ్లిక్ లేదా ప్రైవేట్ అని నిర్ణయించినప్పుడు ఫైర్‌వాల్ ప్రొఫైల్ మారవచ్చు, ప్రొఫైల్‌కు పరిమితమైన నియమాలు దాన్ని అనుసరిస్తాయి. మేజా మీద నిలబడి రైలులో విఫలమయ్యే రూపకల్పన ఒకసారి పరీక్షించిన రూపకల్పన.
వర్గీకరణ ద్వారం లేదా DNS అవసరం ఫైర్‌వాల్-మాత్రమే విధానాన్ని అప్రాయోగికం చేస్తే, క్లయింట్-వైపు స్విచ్ నేరుగా చెప్పాలంటే నిజాయితీ సమాధానం. సొరంగం బదులుగా రౌటర్‌లో ముగిస్తే, విధానం రౌటర్‌దే ఉండాలి, ఎందుకంటే అక్కడ ఒక నియమం దాని వెనుక ఉన్న ప్రతి పరికరాన్ని కవర్ చేస్తుంది మరియు Windows అడాప్టర్‌కు ఏ పేరు పెడుతుంది అనే దానిపై ఆధారపడదు.