Windows 高级防火墙：“边缘遍历”是什么意思？

Question

这应该是一个非常简单的：

在Windows Server 2008+上的高级 Windows 防火墙中，属性 > 高级，“边缘遍历”是什么意思？

当然，我在谷歌上搜索过，但无法给出具体的答案，尤其是在Thomas Schinder 的博客上看到以下内容时，我感到非常震惊：

Edge traversal 选项是一个有趣的选项，因为它没有很好的记录。以下是帮助文件中的内容：

“Edge traversal 这表示是否启用了边缘遍历（Yes）或禁用了（No）。启用边缘遍历后，应用规则的应用程序、服务或端口可全局寻址，并可从网络地址转换 (NAT) 或边缘设备外部访问。”

你认为这可能意味着什么？通过在服务器前面的 NAT 设备上使用端口转发，我们可以使服务跨 NAT 设备可用。这可能与IPsec有关吗？它可能与NAT-T有关吗？难道这个功能的帮助文件编写者也不知道，并且编造了一些代表同义反复的东西？

我不知道这是做什么的，但如果我发现了，我会确保将这些信息包含在我的博客中。

我很欣赏他的诚实，但如果这家伙不知道，谁知道呢？！

一旦机器位于路由器的另一端，我们就很难连接到 VPN，我想知道这是否有帮助？所以我非常渴望听到对“边缘遍历”的正确描述！

Answer 1

看起来今年早些时候提交的微软专利申请可能会告诉你你想知道什么。

据我所知，此标志允许防火墙规则应用于已封装的流量，例如，源自网络边界外的 IPv6 到 IPv4 隧道。正如专利通常那样，据我所知，这个专利是以一种通用的方式编写的，适用于任何不同类型的隧道协议。

这种封装流量的有效载荷对于隧道另一端网络上的任何防火墙都是不透明的。据推测，这些封装的数据包将未经过滤地传递到隧道另一端终止的内部主机。该主机将接收流量，将其通过自己的防火墙，对流量进行解封装（如果其自己的防火墙允许），并将解封装的数据包传回其防火墙。当数据包第二次通过防火墙时（解封装后），它设置了“这个数据包穿越了网络边缘”位，这样只有设置了“边缘穿越”位的规则才会应用于数据包。

该专利申请的图 4 似乎以图形方式描述了该过程，从第 7 页开始的“详细描述”部分详细描述了该过程。

这基本上允许基于主机的防火墙对通过本地网络防火墙的隧道进入的流量具有不同的规则，而不是直接通过本地网络防火墙发送的未封装隧道的流量。

我想知道 iptables 的“标记”功能是否是该专利的现有技术？看起来它确实做了一件非常相似的事情，尽管以一种更通用的方式（因为如果您愿意，您几乎可以出于任何原因编写用户域代码来“标记”数据包）。