Mga profile ng firewall laban sa VPN egress: bakit hindi landas ang pampubliko

Tila tumpak ang tuntunin: payagan ang lokal na trapiko sa pribadong profile at tanging trapiko ng VPN sa pampubliko. Hindi ito ganoon, dahil pumipili ang profile ng network kung aling hanay ng tuntunin ng firewall ang nalalapat at wala itong sinasabi tungkol sa kung aling adapter ang nagdala ng packet. Ang pagtrato sa pangalan ng profile bilang kailangan ng landas ang pagkakamaling nagpapamukhang tapos ang disenyo ng limitadong labasan gayong hindi pa.

Isulat muna ang mga daloy, pagkatapos ay magpasya kung aling mekanismo ang tunay na makapagpapatupad sa bawat isa. Ang listahan ng daloy na iyon ang tanging artifact na natitira pagkatapos ng susunod na pagbabago ng tuntunin.

Pumipili ang kategorya ng tuntunin, hindi ng ruta

Kapag inuri ng Windows ang isang network bilang pampubliko o pribado, inilalapat ng firewall ang hanay ng tuntunin na na-configure para sa profile na iyon. Sinusundan ng pag-uuri ang network na sinalihan ng adapter, at ang hanay ng tuntunin ang nagpapasya kung ano ang pinapayagan dito. Wala sa mga katotohanang ito ang nakasalalay sa kung ginamit ng trapiko ng isang application ang tunnel. Ang kalayaang iyon ang buong kahirapan.

Ang pagpili ng landas ay ginagawa ng routing, sa pamamagitan ng sukatan ng interface at ng prefix na inilalagay ng tunnel. Kaya ang isang profile ay maaaring may label na pampubliko habang ang koneksyon ng isang application ay dumadaan sa pisikal na landas, at iuulat pa rin ng firewall na inilapat ang pampublikong hanay ng tuntunin.

Kaya ang tuntuning nakakulong sa profile ay hindi maaaring mangahulugang tunnel lamang. Ang dalawang katangiang ito ay pinagpapasyahan ng magkaibang bahagi at hindi maaaring pumalit ang isa sa isa.

Ang tahasang pagharang ay nananaig sa mas makitid na pahintulot

Ang patnubay ng Microsoft sa mga tuntunin ng firewall ay nagtatangi ng pahintulot bilang pagbubukod sa paunang aksyon ng pagharang mula sa tahasang pagharang na sumasalungat sa isang pahintulot. Nananaig ang tahasang pagharang sa salungatang iyon, at sinusunod ng mga tuntunin sa labas ang parehong prayoridad.

Kaya ang sikat na paraan ng pagdaragdag ng tuntuning humaharang sa lahat at pag-asa sa mas makitid na pahintulot na inilagay sa itaas nito ay hindi ginagawa ang inaasahan ng may-akda nito. Hindi nilulutas ng Windows Firewall ang salungatan ayon sa pagkakasunod-sunod ng tuntuning itinalaga ng administrator. Nalalapat lang ang pagharang, at ang application na kumokonekta ay nag-uulat ng timeout. Ang tuntuning mukhang pagbubukod ay hindi kailanman naging bahagi ng laro.

Ang sinusuportahang anyo ay isang patakarang paunang pagtanggi na may mga aprubadong tuntunin ng pahintulot, kung saan pinapangalanan ng bawat pahintulot ang isang programa, serbisyo o destinasyon nang sapat na tumpak upang masuri. Ang disenyong iyon ay nakalalampas sa isang audit, dahil nakikita ang bawat pagbubukod at wala sa mga ito ang nakasalalay sa pagkakasunod-sunod ng pagkalikha.

Ang dalawang tuntuning nagkakasalungatan ay mas masama kaysa isang tuntunin, dahil ang resultang pag-uugali ay tama at hindi maipaliwanag nang sabay.

Bigyan ng isang may-ari ang patakarang palabas

Ang sinusuportahang kliyente ng VPN ay may sarili nang pag-uugali sa pagharang at sariling mga pagbubukod sa endpoint. Ang pagdaragdag ng hindi nakaugnay na manu-manong tuntunin ay maaaring iwan ang kliyenteng iyon sa labas ng tunnel na kailangan nito para sa setup, o mag-iwan ng pangalawang landas na bukas na walang nakapansin.

Magpasya kung kanino ang patakarang palabas bago magsulat ng tuntunin: ang sariling configuration ng kliyente, isang pinamamahalaang patakaran ng firewall, o isang dokumentadong lokal na listahan ng pagbubukod na may may-ari. Pagkatapos ay pagtugmain ang mga patong sa halip na magpatong ng mga eksperimento hanggang may kumonekta. Ang pinangalanang may-ari rin ang tinatanong kapag hindi nagkasundo ang dalawang patong.

Panatilihin ang isang daan ng pagbawi bago baguhin ang anuman. Ang malayong makina na nakakandado sa labas ng sarili nitong landas ng pamamahala ay mas masamang resulta kaysa sa puwang ng patakarang isinasara mo. Ang tuntunin ng pagbawi ay mas madaling ipagtanggol kapag nakasulat nang maaga, at mas madaling hanapin kapag ang pagbabago ay nagkamali sa oras na walang sinuman ang nasisiyahan.

Subukan ang apat na resulta sa halip na basahin ang label

Ang patakaran ay kasinggaling lamang ng mga kasong tinatangi nito, kaya ituring ang label ng profile bilang panimulang punto at hindi resulta. Sinasabi ng apat na resulta kung gumagana ito: nagtagumpay ang sinadyang kahilingan sa LAN, nagtagumpay ang sakop na kahilingan sa internet, nabigo ang ipinagbabawal na direktang kahilingan, at ang kaso ng pagpalya ng tunnel ay kumikilos ayon sa disenyo sa halip na tahimik na umurong. Isulat ang apat na resulta sa tabi ng pagbabago ng tuntunin. Ang plano ng pagsubok na may apat na pinangalanang kaso ay sapat na maikli upang patakbuhin bawat pagkakataon at sapat na tiyak upang mabigo nang malakas.

Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias
Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction
Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block |
  Select-Object DisplayName,Profile

Ipinapakita ng unang utos kung paano inuri ang bawat konektadong network, na kadalasan ay hindi ang inaasahan ng taong sumulat ng tuntunin. Ipinapakita ng pangalawa ang paunang aksyon bawat profile, at inililista ng pangatlo ang mga pinagaganang pagharang sa labas, kabilang ang mga tahimik na magpapawalang-bisa sa mas makitid na pahintulot.

Patakbuhin muli ang apat na kaso pagkatapos ng pagbabago sa network, dahil maaaring muling uriin ang profile kapag sumali ang makina sa ibang network. Ang tumutugmang label ng profile ay hindi ebidensya na ang landas ay ang nilalayon mo.