Faqat Windows xavfsizlik devori VPN o'chirish kaliti sifatida: chidaydimi?
Interfeys turi bo'yicha qoidalar jismoniy adapterlarni bloklashi mumkin, ammo uchinchi tomon tunneli ko'pincha simli ko'rinadi. Tasnifni, oxirgi nuqta yo'lini, keyin DNS-ni tekshiring.
Windows xavfsizlik devori yolg'iz o'zi favqulodda o'chirish kaliti bo'lib xizmat qila oladimi, deb so'rang va siz ikki ishonchli hamda bir-biriga mos kelmaydigan javob olasiz. Biri interfeys turi qoidasi butun ishni bajaradi deydi; boshqasi skriptlarsiz ishlamaydi deydi. Ikkisi ham bir mexanizmning yarmini tasvirlaydi. Xavfsizlik devori blokni ifodalay oladi, natija haqiqatan yopiq holatda muvaffaqiyatsiz bo'ladimi esa uch narsaga bog'liq: Windows tunnel adapterini qanday tasniflaydi, oxirgi nuqta istisnosi saqlanib qoladimi va nomlarni hal qilish hamda IPv6 qamrab olinganmi. Ulardan birida xato qilsangiz, mashina yo sizib chiqadi yoki butun aloqani yo'qotadi.
Uch shart, shu tartibda
Birinchi shart tasnif bo'lib, u xohlagan qoidangiz umuman ifodalanadimi-yo'qmi shuni hal qiladi. Windows xavfsizlik devori qoidalarini interfeys turi bo'yicha cheklash mumkin: simli, simsiz yoki masofaviy kirish. Jismoniy turlarda chiqish trafigini bloklab, tunnelga ruxsat beradigan siyosat faqat Windows tunnelni masofaviy kirish deb tanisa ishlaydi.
Ikkinchi shart oxirgi nuqta istisnosi. Har qanday tunnel paydo bo'lishidan oldin mijoz jismoniy adapter orqali VPN serveriga yetib borishi kerak, shuning uchun o'sha adapterdagi to'liq blok aynan blokni keraksiz qiladigan ulanishni to'xtatadi. Istisno serverni va uning portini nomlashi kerak, paket esa hali ko'tarilmagan tunnelga emas, jismoniy shlyuz orqali chiqishi kerak.
Uchinchisi qamrov. IPv4-ni bloklab IPv6-ni unutadigan yoki oxirgi nuqtani qidirish uchun mahalliy hal qiluvchiga ruxsat berib, shu bilan har qanday boshqa qidiruvga ham ruxsat beradigan qoidalar to'plami kalit mavjud bo'lgan o'sha oynada ochiq holda muvaffaqiyatsiz bo'ladi. Bu dizayn kamchiligi, xavfsizlik devori xatosi emas. Bu stol ustidagi har bir sinovdan omon qoladigan kamchilik ham.
Tasnif birinchi darvoza
Bitta qoida yozishdan oldin Windows adapterlar haqida nima deb o'ylashini ko'ring. Windows-ning o'ziga xos VPN ulanishi odatda masofaviy kirish sifatida ko'rinadi. O'z virtual adapterini yaratadigan uchinchi tomon mijozi ko'pincha simli ko'rinadi, ya'ni simli adapterlar bilan cheklangan blok tunnelni ham bloklaydi.
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultOutboundActionUchinchi buyruq standart chiqish bloki allaqachon amalda ekanini aytadi, bu esa dizaynning butun shaklini o'zgartiradi. Agar standart allaqachon blok bo'lsa, siz ruxsat beruvchi asosga istisnolar emas, ruxsat qoidalarini yozasiz, va bu haqda o'ylash ancha oson.
Agar tunnel adapteringiz simli deb xabar bersa, faqat xavfsizlik devori yopiq muvaffaqiyatsizlik dizayni uchun to'g'ri vosita emas va qoidalarni qancha sozlamang, bu o'zgarmaydi. Har bir forum mavzusidagi ikkinchi fikr to'g'ri bo'ladigan holat shu.
Oxirgi nuqta istisnosiga qoida bilan birga yo'l ham kerak
Tasnif ishlaydi deb faraz qilaylik. Istisno ikki qismdan iborat va ular turli quyi tizimlarda yashaydi. Xavfsizlik devori qoidasi trafikka ruxsat beradi; xost yo'li tunnel pastda bo'lganda uni to'g'ri interfeysdan chiqaradi.
New-NetFirewallRule -DisplayName "VPN endpoint allow" -Direction Outbound -Action Allow \
-Protocol TCP -RemoteAddress 203.0.113.9 -RemotePort 443 -InterfaceType Wired,Wireless
New-NetRoute -DestinationPrefix 203.0.113.9/32 -InterfaceIndex 12 -NextHop 192.168.1.1
Get-NetRoute -DestinationPrefix 203.0.113.9/32Yo'lsiz istisno faqat standart yo'l hali jismoniy shlyuzga ishora qilganda yordam beradi. Mijoz o'z standart yo'lini o'rnatib, keyin o'chsa, ruxsat berilgan paketlarning boradigan mantiqiy joyi qolmaydi va ulanishni qayta tiklab bo'lmaydi. Bu muvaffaqiyatsizlik buzilgan mijozga o'xshaydi, aslida esa yetishmayotgan yo'l.
Istisnoni mijoz ruxsat berganicha tor tuting. Bitta manzil va bitta port ko'rib chiqiladi; provayderning butun tarmog'ini qamrab oladigan diapazon esa yo'q. Bu kengroq qoida o'sha provayderda joylashtirilgan boshqa hamma narsaga ham ruxsat beradi, bu odatda niyat qilganingizdan ko'proq.
DNS va IPv6 — u ochiq muvaffaqiyatsiz bo'ladigan joylar
Nomlarni hal qilish klassik oqish. Agar oxirgi nuqta xost nomi bo'lsa, mijoz tunnel paydo bo'lishidan oldin uni hal qilishi kerak, ya'ni jismoniy adapterga hal qiluvchiga yetish uchun ruxsat berilishi kerak. Xuddi shu ruxsat tunnel pastda bo'lganda har qanday boshqa qidiruvni tashqariga chiqaradi, va bitta qidiruv nima ko'rmoqchi bo'lganingizni oshkor qilish uchun yetarli.
IPv6 ikkinchisi. IPv4 uchun yozilgan qoidalar boshqa oilani qamramaydi va ko'p mijozlar faqat IPv4 yo'llarini o'rnatadi. Shuning uchun o'z IPv6 ulanishiga ega mashina IPv4 tomoni qattiq bloklangan holda internet bilan gaplashishda davom etishi mumkin, kalit esa butun vaqt davomida muvaffaqiyat haqida xabar beradi.
| Gap | What leaks | Control |
|---|---|---|
| Resolver permitted for endpoint lookup | Every name queried while down | Pin the endpoint as an address, or block non-tunnel DNS |
| Rules only for IPv4 | Full IPv6 connectivity | Add the same rules for the other family |
| Application bound to physical interface | Its own traffic | Firewall cannot fix this; change the binding |
Uchinchi qatorni chetlab o'tish emas, tushunish kerak. Xavfsizlik devori paketlar haqida qaror qiladi, ilova qaysi interfeysni ishlatishni so'ragani haqida emas, va aniq bog'lanadigan dasturni nazorat qilish qiyin bo'lishi mumkin. Bu ilova ostida ishlaydigan mijoz tomonidagi kalit foydasiga dalil, ko'proq qoidalar foydasiga emas.
Kabelni tortish bilan emas, mijozni to'xtatib sinang
Yagona mazmunli sinov siz himoya qilayotgan muvaffaqiyatsizlikni taqlid qiladigan sinovdir. Xizmatni to'xtating, jarayonni o'ldiring yoki mijoz yaratgan adapterni o'chiring, keyin internetga va nomga yetishga harakat qiling:
Stop-Service -Name "YourVpnService" -Force
Test-NetConnection -ComputerName 1.1.1.1 -Port 443
Resolve-DnsName example.com
Test-NetConnection -ComputerName 2606:4700:4700::1111 -Port 443Uchtasi ham muvaffaqiyatsiz bo'lishi kerak. Agar birinchisi muvaffaqiyatli bo'lsa, blok amalda emas; agar birinchisi muvaffaqiyatsiz bo'lgan joyda ikkinchisi muvaffaqiyatli bo'lsa, sizda DNS oqishi bor; agar uchinchisi muvaffaqiyatli bo'lsa, IPv6 qamrab olinmagan. Har bir natija yuqoridagi kamchiliklarning aynan biriga ishora qiladi.
Uyqu va uyg'onishdan keyin sinovni takrorlang, chunki Windows tarmoqni ommaviy yoki xususiy deb qaror qilganda xavfsizlik devori profili o'zgarishi mumkin, va profilga cheklangan qoidalar unga ergashadi. Stol ustida chidab, poyezdda muvaffaqiyatsiz bo'ladigan dizayn bir marta sinovdan o'tgan dizayndir.
Agar tasnif darvozasi yoki DNS talabi faqat-xavfsizlik-devori yondashuvini amalga oshirib bo'lmaydigan qilsa, mijoz tomonidagi kalit halol javobdir. Agar tunnel o'rniga routerda tugasa, siyosat routerniki bo'lishi kerak, chunki u yerdagi bitta qoida uning orqasidagi har bir qurilmani qamrab oladi va Windows adapterni qanday nomlashiga bog'liq emas.