Windows 防火墙大概只是一个宠物吧

  我用 Linux 前后有五年左右的时间,现在常见的 Debian 和 CentOS 系统,哦对,还有一个 Ubuntu,它们都内置了 firewalld,说起 Firewalld,或许高手会鄙视鄙视再鄙视(你凭什么取代了 iptables?)但是我觉得,和 Windows 防火墙比起来,它算是比较强大的防火墙了。
  我为了学习的需要,购买了一个 VPS,走野路子装上了 Win Server 2019,为什么是野路子呢?因为人家不提供 Windows 镜像啊!既然是学习 Windows,那么,系统装完后,第一件事情不就是要安装 Active Directory 吗?那是肯定低!在安装 AD-DS 之前,我想安装一个 Softether VPN Server,方便我稍后通过 VPN 访问(不然一个是慢,在一个是 ISP 基本都封堵了 445 端口,所以直接登录也登陆不了),安装进程非常顺利。您的 AD-DS 服务器是用来给别人入侵的吗?我去,我开防火墙不就可以了呀?实际上,还真不可以。
  由于我是个穷学生,显然买不起 Azure 这样高端大气上档次的服务,普通的 VPS 人家不提供额外的防火墙,那就开启 Windows 防火墙吧!展开了“入栈连接”节点后,我天啊,Active Directory 的所有条目,配置文件都写明了“所有”,操作都是“允许”(废话不允许看你咋登录域)。M$ 啊,您为我安装的 AD-DS 角色,竟然是开放在那里让人随意访问的?我把属性里的高级选项卡里的配置文件手动改成“域”,万事大吉了吧?
  实践证明,我真的是图样图森破,高级安全 Windows 防火墙,提供各种各样的限制方式,例如源地址,目的地址等,但人家似乎没提供按网卡进行限制的选项,即便有,也是“局域网”、“远程访问”之类的比较笼统的概念,好吧,我服你了。既然单独的规则不可以指定网卡,那我就找防火墙本身的属性,这里面还真有四个选项卡,默认就是域配置文件。诶,入栈连接不是可以选择阻止所有吗?而且下面还可以选择受防火墙保护的网卡,那我退一大步,把 VPN 配置成网桥,连接到另外一个服务器,本机不允许从互联网直接访问,只能通过 VPN 那张网卡进行访问不就基本解决问题了?实际情况是,VPN 那张网卡也被禁止了,我从远程桌面掉了下来,重重地摔在了地上。
  爬上服务器后,我想,看来也只能用限制源地址的方法来保护活动目录了。相比之下,Firewalld 提供了按网卡指定网络配置文件的选项,比如,把 eth0 分配到 Trusted 配置文件,把 eth1 分配到 External 配置文件,以此类推,Windows 的网络位置管理就显得太死板了,在 RRAS 服务器上,我不知道会出现什么有趣的现象,或许,这就是微软想让我们把专门的服务器用在专门的场合吧?但弹性真的太差啦!

留下评论

电子邮件地址不会被公开。 必填项已用*标注