Gumagana ang ping sa isang direksyon lang: bakit itinatapon ng Windows ang echo ng server

Nagpi-ping ang kliyente mo sa server, hindi makapag-ping ang server sa kliyente, at kitang-kitang nagdadala ng packet ang tunnel sa parehong mga pahayag na iyon. Ang naiiba ay hindi ang landas kundi ang unang packet ng bawat pagsubok: ang isa ay sagot sa isang daloy na sinusubaybayan na ng Windows, ang isa pa ay bagong papasok na kahilingan na walang panuntunang tinanggap. Ang pagkakaibang iyon ang nagpapaliwanag sa karamihan ng ulat ng isang-direksyong ping at direktang tumuturo sa panuntunang kailangan mong isulat. Dalawang pagsubok sa magkasalungat na direksyon ang naghihiwalay sa mga kaso sa loob ng mga isang minuto.

Dalawang direksyon, dalawang magkaibang desisyon

Kapag nagpadala ang kliyente ng kahilingan ng echo, nakikita ng firewall ng Windows ang isang papalabas na koneksyon na pinagpasyahan nitong payagan. Bumabalik ang sagot sa loob ng naitatag nang daloy, kaya pinapasok ito ng makina na sumusubaybay sa estado nang hindi tinatanong ang anumang papasok na panuntunan para sa ICMP. Iyon ang ibig sabihin ng pag-filter na may estado sa praktika, at ang panuntunang walang nakasulat ay hindi kasama. Kaya't walang sinasabi ang tagumpay ng kliyente tungkol sa patakarang papasok.

Kapag ang server ang unang nagpadala ng kahilingan, walang estadong tumutugma dito. Itinuturing ng Windows ang packet bilang bagong papasok na koneksyon at tinatanong ang patakarang papasok, na ayon sa default ay walang itinakda para sa mga kahilingan ng echo mula sa kahit anong pinagmulan.

Kaya pinatunayan ng tagumpay ng kliyente na gumagana ang papalabas na ICMP at ang pabalik na landas. Hindi nito nasubukan ang desisyong papasok, at ang likas na konklusyon, na maayos ang firewall, ay makatwiran at mali. Kaya't paulit-ulit ang pagkakamaling ito sa mga ticket na mayroon nang ebidensya.

Sundan ang packet hanggang mawala ito

Tiyakin ang mga address bago magbago ng kahit ano: gamitin ang address ng tunnel na talagang hawak ng kliyente, at tiyakin na doon nagruruta ang server at hindi sa address ng LAN sa likod ng kliyente. Magkamukha ang dalawang kabiguan mula sa prompt ng server, dahil parehong nauuwi sa timeout. Kung saan namamatay ang packet ang tanging katotohanang nagtatakda kung ano ang babaguhin.

Kung umabot ang kahilingan sa interface ng tunnel at walang lumalabas, ang lokal na firewall ang malamang na dahilan. Kung hindi ito umabot sa interface, ang sagot ay nasa itaas: isang ruta sa server, isang papalabas na patakaran, o ang sariling paghahatid ng VPN sa pagitan ng mga peer.

Kunin ang capture sa interface ng tunnel ng kliyente habang nagpi-ping ang server. Ang makitang dumarating ang kahilingan na walang sagot sa tabi nito ang ebidensyang nagbibigay-katwiran sa pagsulat ng panuntunan ng Windows. Ang wala kang makita ay nagpapadala sa iyo pataas, at ang panuntunang idinagdag sa ganoong kalagayan ay ginagawa lang na mas mapagbigay ang makina para sa packet na hindi kailanman dumating. Sa alinmang kaso, mas mababa ang halaga ng capture kaysa sa haka-hakang pinapalitan nito.

Limitahan ang isang panuntunan sa halip na buksan ang ICMP

Tukuyin ang adapter at ang kasalukuyang kategorya nito bago magsulat ng kahit ano, dahil parehong lumilitaw sa saklaw na itatakda mo. Ang alias na iyon ay pangalan ng interface ng Windows, na hindi kinakailangang pangalan ng profile ng VPN na inangkat mo. Ipinapakita ng mga utos sa ibaba kung ano ang mayroon, pagkatapos ay nagpapakita ng paunang tanaw ng limitadong panuntunan nang hindi ito inilalapat.

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

Ang ICMPv4 uri 8 ay ang kahilingan ng echo, ang tanging mensaheng kailangan ng sagot ng server. Limitahan ito sa address ng tunnel ng server at sa interface ng tunnel, at iwanan ang profile kung ano talaga ang adapter. Ang pagpapalit ng pangalan ng network upang umayon sa isang halimbawa ay hiwalay na pagbabago na may sariling mga kahihinatnan.

Ano ang hindi saklaw ng panuntunan

Ang echo ng IPv6 ay ibang protocol na may ibang uri ng mensahe, kaya walang sinasabi ang panuntunan ng ICMPv4 tungkol dito, at ang tunnel na nagdadala ng dalawang pamilya ay kailangan ng sarili nitong panuntunan para sa isa pa. Hindi rin binubuksan ng panuntunang ito ang anupaman: ang RDP, pagbabahagi ng file at lahat ng iba pang serbisyo ay nakadepende pa rin sa sarili nilang patakaran. Iyon ang buong dahilan ng paglilimita sa isang makitid na panuntunan sa halip na paganahin ang malawak na pahintulot ng ICMP. Ang malawak na pahintulot ang madaling solusyon at ang pinakamatagal, dahil wala nang makakapansin nito pagkatapos.

Sa isang pinamamahalaang aparato, maaaring mapalitan ang panuntunan sa susunod na pag-refresh ng patakaran, kaya ang may-ari ng patakaran ang dapat gumawa ng katumbas na pagbabago at hindi isang lokal na administrador. Isulat ang intensyon sa ticket kasama ng utos, dahil buburahin ng refresh ang utos at iiwan ang pangangailangan na buo. Hindi pareho ang dalawa at isa lamang ang nakakaligtas.

Basahin ang resulta sa tamang direksyon

Kapag may bisa na ang panuntunan, mag-ping mula sa server at tiyakin na may sagot na umaabot sa kliyente, pagkatapos ay mag-ping mula sa pinagmulang dapat pa ring ibukod at tiyakin na hindi ito umaabot. Ulitin ang pagsubok sa maabot sa kabilang pamilya ng address kung may dala ang tunnel.

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

Ang i-print ang panuntunang naging may bisa ay mas kapaki-pakinabang kaysa magtiwala sa utos na lumikha nito, dahil ang paunang tanaw at ang inilapat na panuntunan ay magkaibang estado. Kung ipinapakita ng filter ng address ang pinagmulang nilayon mo at nauuwi pa rin sa timeout ang ibinukod na pinagmulan, ginagawa ng panuntunan ang eksaktong sinasabi ng saklaw nito. Hindi kailanman naipapakita iyon ng matagumpay na ping mula sa kliyente, kaya't ang direksyon ng bawat pagsubok ay bahagi ng rekord sa tabi ng resulta nito. Itago ang dalawang direksyon sa ticket, kung hindi ay uulitin ng susunod na mambabasa ang pagsubok na hindi maaaring mabigo.