VPN trafik filtri yoxsa IPsec qaydası: Windows portu harada tətbiq edir

Bir Windows VPN istifadəçisi serverdə HTTPS-ə çatmalı, həmin serverdə SMB-yə isə çatmamalıdır və marşrut bunu ifadə edə bilmir. Hər iki sorğu eyni təyinat ünvanını daşıyır, ona görə də trafiki tunelə yönəldən prefiks istisna etmək istədiyiniz axını da daşıyır. Onları ayırmaq təyinatdan daha incə bir şeyi yoxlayan qayda tələb edir.

İki fərqli niyyət iki fərqli Windows mexanizmi ilə qurulur. Onları qarışdırmaq, nəzərdə tutduğunuzun yarısını tətbiq edərkən tam görünən siyasət yaradır.

Marşrut bir ünvanda iki xidməti ayıra bilmir

Doğma VPN marşrutlaşdırması prefiks əsaslıdır: hansı təyinatların tuneldən keçdiyini, hansıların kənarda qaldığını müəyyən edir. Bir alt şəbəkəni içəridə, digərini kənarda saxlamaq üçün düzgün alətdir və quruluşuna görə portlara kardır. VPN profilindəki trafik filtri ikinci ölçü əlavə edir: protokolu, uzaq ünvanı və uzaq portu həmin interfeysdən keçə biləcəklər üçün uyğunlaşdırır. IPsec qaydası üçüncü yerdə işləyir və hansı axınların qoruma tələb etdiyini və kiminlə autentifikasiya etdiyini ifadə edir. Üçü fərqli suallara cavab verir və heç biri digərini əvəz etmir.

Nəzərdə tutulan cümləni yazmaqla başlayın. «Yalnız HTTPS-ə icazə ver» giriş cümləsidir, «HTTPS üçün IPsec tələb et» isə qoruma cümləsidir və ikisi fərqli konfiqurasiyaya aparır.

Giriş məhdudiyyəti və qoruma tələbi ayrılır

Giriş məhdudiyyəti interfeysdən nəyin istifadə edə biləcəyini bildirir və bir çoxluğa icazə verib qalan hər şeyi rədd etməklə tətbiq olunur. Qoruma tələbi hansı axınların şifrələnməli və autentifikasiya olunmalı olduğunu bildirir və onlara uyğun təhlükəsizlik assosiasiyaları razılaşdırmaqla tətbiq olunur. Birincisi bir şey siyahıda olmadıqda bloklanmış sorğu yaradır, ikincisi isə ya tələb olunan qorumanı daşıyan, ya da qurulmayan bir bağlantı yaradır. Birini digəri kimi qəbul etmək siyasətin heç nəyi bloklamaması və ya heç nəyi qorumaması ilə nəticələnir.

Praktik nəticə ondan ibarətdir ki, filtr siyahısı qapalı çoxluqdur. Profildə siyahı mövcud olduqdan sonra həmin interfeysdən heç bir girişə uyğun olmayan trafik rədd edilir, buna görə DNS, autentifikasiya mübadilələri və tətbiqin ehtiyac duyduğu hər bir asılılıq öz girişlərini tələb edir. Rəddləri susdurmaq üçün bir geniş qayda əlavə etmək bütün interfeysi yenidən açır və məhdudiyyəti sakitcə ləğv edir. Siyahı tələbin icazə verdiyi qədər qısa və tətbiqin tələb etdiyi qədər tam olmalıdır.

Filtr siyahısını tam çoxluq kimi qurun

VPNv2 profilləri filtr siyahısını marşrut siyahısından ayrı daşıyır və onun girişləri əmrlər deyil, profil xassələridir. HTTPS nümunəsi üçün girişə protokol 6, uzaq ünvan və uzaq port lazımdır və bunlar istifadə olunan profil növü üçün idarəetmə kanalı və ya ProfileXML vasitəsilə yerləşdirilir. Microsoft-un VPNv2 trafik filtri tərifi bir qayda daxilindəki şərtlərin birləşdiyini, ayrı qayda identifikatorlarının isə alternativ kimi çıxış etdiyini bildirir.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Bu siyahıdakı port dəyərləri uzaq tərəfdəki xidmət portunu təsvir edir və yerli port məhdudiyyətsiz qalmalıdır ki, müştərinin keçici mənbə portu filtrlənməsin. Bunu tərsinə etmək heç nəyə uyğun gəlməyən qayda və günortanı alan bir tapmaca yaradır.

Marşrutu və filtri iki ayrı qərar kimi yazın. Marşrut bu serverə tuneldən çatıldığını, filtr isə hansı xidmətlərin bu yoldan istifadə edə biləcəyini müəyyən edir.

Hər iki nəticəni iki sorğu ilə sübut edin

İcazə verilən axını və rədd edilən axını ayrı-ayrılıqda sınayın və itkin səhifəni deyil, uğursuzluğu oxuyun. Tez gələn rədd siyasət qərarıdır, zaman aşımı isə daha çox itkin marşrut və ya dinləməyən xidmət deməkdir. Aşağıdakı əmrlər hər iki sorğunu işə salır və qüvvədə olan qaydaları göstərir.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB testində sürətli rədd və HTTPS testində uğur filtrin istehsal etməli olduğu nəticədir. Hər iki portda rədd siyahının sessiyanın ehtiyac duyduğu bir şeyi buraxdığını, hər ikisində zaman aşımı isə filtrləməyə deyil, marşrutlaşdırmaya işarə etdiyini bildirir. Əgər qorunan axınlar IPsec çıxışında təhlükəsizlik assosiasiyasının olmadığını göstərirsə, bağlantı uğurlu olsa da qoruma tələbi ödənilmir. Dörd çıxışı birlikdə oxuyun, çünki hər biri təkbaşına fərqli bir hekayəni dəstəkləyir.

Effektiv profili, qayda dəstini və qarşı tərəfin siyasətini nəticələrlə birlikdə qeyd edin. Köhnə Windows müştəriləri haqqında tarixi uyğunluq qeydləri bugünkü idarə olunan profil funksiyalarının müəyyən bir şlüz üzərində nəyi dəstəklədiyini təsvir etmir. Versiyaya xas davranış fərziyyədə deyil, qeyddə yer almalıdır.