Ping faqat bir yo'nalishda ishlaydi: Windows nega server aks-sadosini tashlab yuboradi

Sizning mijozingiz serverga ping yuboradi, server mijozga ping yubora olmaydi, va tunnel ikkala gapda ham paketlarni aniq tashimoqda. Farq yo'lda emas, har bir sinovning birinchi paketida: biri Windows allaqachon kuzatayotgan oqimga berilgan javob, ikkinchisi hech bir qoida o'tkazmagan yangi kiruvchi so'rov. Ana shu farq bir tomonlama ping haqidagi hisobotlarning ko'pini tushuntiradi va yozishingiz kerak bo'lgan qoidaga to'g'ridan-to'g'ri ishora qiladi. Qarama-qarshi yo'nalishdagi ikkita sinov holatlarni qariyb bir daqiqada ajratadi.

Ikki yo'nalish, ikki xil qaror

Mijoz aks-sado so'rovini yuborganda, Windows xavfsizlik devori ruxsat berishga qaror qilgan chiquvchi ulanishni ko'radi. Javob o'sha o'rnatilgan oqim ichida qaytadi, shuning uchun holatni kuzatuvchi mexanizm ICMP uchun hech qanday kiruvchi qoidani so'ramasdan uni qabul qiladi. Amalda holatga asoslangan filtrlash aynan shuni anglatadi, va hech kim yozmagan qoida bu yerda ishtirok etmaydi. Shuning uchun mijozning muvaffaqiyati kiruvchi siyosat haqida hech narsa demaydi.

Server so'rovni birinchi yuborsa, unga hech qanday holat mos kelmaydi. Windows paketni yangi kiruvchi ulanish deb qaraydi va kiruvchi siyosatdan so'raydi, u esa sukut bo'yicha ixtiyoriy manbalardan keladigan aks-sado so'rovlarini umuman hisobga olmaydi.

Demak, mijozning muvaffaqiyati chiquvchi ICMP va qaytish yo'li ishlashini isbotladi. U kiruvchi qarorni hech qachon sinab ko'rmadi, va xavfsizlik devori joyida degan tabiiy xulosa o'rinli, ammo noto'g'ri. Shuning uchun bu xato dalil allaqachon mavjud bo'lgan tiketlarda takrorlanadi.

Paket yo'qolguncha uni kuzatib boring

Biror narsani o'zgartirishdan oldin manzillarni tasdiqlang: mijozda haqiqatan mavjud tunnel manzilini ishlating va server mijoz orqasidagi LAN manziliga emas, aynan shunga marshrutlashini tekshiring. Ikkala nosozlik serverning buyruq satridan bir xil ko'rinadi, chunki ikkalasi ham vaqt tugashi bilan tugaydi. Paket qayerda o'ladi — nimani o'zgartirish kerakligini hal qiladigan yagona fakt.

Agar so'rov tunnel interfeysiga yetib, tashqariga hech narsa chiqmasa, mahalliy xavfsizlik devori ehtimoliy sabab. Agar u interfeysga umuman yetmasa, javob yuqorida: serverdagi marshrut, chiquvchi siyosat yoki VPN ning o'z tengdoshlari orasidagi yetkazish.

Server ping yuborayotganda mijozning tunnel interfeysida yozib oling. So'rovning yonida javobsiz kelishini ko'rish Windows qoidasini yozishni oqlaydigan dalildir. Hech narsa ko'rmaslik sizni yuqoriga yuboradi, va o'sha holatda qo'shilgan qoida hech qachon kelmagan paket uchun mashinani faqat kengroq qiladi. Har qanday holatda yozib olish u almashtiradigan taxminlardan arzonroq.

ICMP ochish o'rniga bitta qoidani cheklang

Biror narsa yozishdan oldin adapter va uning joriy toifasini aniqlang, chunki ikkalasi ham siz belgilamoqchi bo'lgan doirada ko'rinadi. Bu taxallus Windows interfeysining nomi bo'lib, u siz import qilgan VPN profilining nomi bo'lishi shart emas. Quyidagi buyruqlar nima borligini sanab o'tadi, so'ng qo'llamasdan cheklangan qoidaning oldindan ko'rinishini ko'rsatadi.

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 8-turi — aks-sado so'rovi, server javob olishi kerak bo'lgan yagona xabar. Uni serverning tunnel manzili va tunnel interfeysi bilan cheklang, hamda profilni adapter haqiqatan qanday bo'lsa, shundayligicha qoldiring. Tarmoqni misolga moslash uchun qayta nomlash o'z oqibatlariga ega alohida o'zgarish.

Qoida nimani qamramaydi

IPv6 aks-sadosi boshqa xabar turiga ega boshqa protokol, shuning uchun ICMPv4 qoidasi u haqida hech narsa demaydi, va ikkala oilani ham tashiyotgan tunnel ikkinchisi uchun o'z qoidasini talab qiladi. Bu qoida boshqa hech narsani ham ochmaydi: RDP, fayl bo'lishish va qolgan barcha xizmatlar hali ham o'z siyosatiga bog'liq. Keng ICMP ruxsatini yoqish o'rniga bitta tor qoidani cheklashning butun ma'nosi shunda. Keng ruxsat oson yechim va eng uzoq yashaydigan yechim, chunki keyin uni hech kim sezmaydi.

Boshqariladigan qurilmada qoida keyingi siyosat yangilanishida almashtirilishi mumkin, shuning uchun teng kuchli o'zgarishni mahalliy administrator emas, siyosat egasi qilishi kerak. Niyatni buyruq bilan birga tiketga yozing, chunki yangilanish buyruqni o'chirib, talabni o'z holicha qoldiradi. Ikkalasi bitta artefakt emas, va ulardan faqat bittasi omon qoladi.

Natijani to'g'ri yo'nalishda o'qing

Qoida kuchga kirgandan so'ng serverdan ping yuborib, javobning mijozga yetib borishini tasdiqlang, so'ng hali ham chetlashtirilishi kerak bo'lgan manbadan ping yuborib, yetib bormasligini tasdiqlang. Agar tunnel ikkinchi manzil oilasini ham tashiyotgan bo'lsa, yetib borish sinovini o'sha tomonda takrorlang.

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

Kuchga kirgan qoidani chop etish uni yaratgan buyruqqa ishonishdan foydaliroq, chunki oldindan ko'rish va qo'llanilgan qoida ikki xil holat. Agar manzil filtri siz ko'zda tutgan manbani ko'rsatsa va chetlashtirilgan manba hali ham vaqt tugashi bilan tugasa, qoida o'z doirasi aytganini aniq bajaradi. Mijozdan boshlangan muvaffaqiyatli ping buni hech qachon ko'rsatmas edi, shuning uchun har bir sinovning yo'nalishi natijasi yonidagi yozuvga tegishli. Tiketda ikkala yo'nalishni ham saqlang, aks holda keyingi o'quvchi muvaffaqiyatsiz bo'lishi mumkin bo'lmagan sinovni takrorlaydi.