Фільтр трафіку VPN ці правіла IPsec: дзе Windows прымяняе порт

Маршрут бачыць прызначэнне, а не сэрвіс. Вырашыце, ці патрэбны вам фільтр доступу ў профілі VPN ці правіла IPsec, якое патрабуе абароны для патоку.

Адзін карыстальнік VPN у Windows павінен дасягаць HTTPS на серверы і не дасягаць SMB на тым жа серверы, а маршрут не можа гэтага выразіць. Абодва запыты нясуць адзін і той жа адрас прызначэння, таму прэфікс, які накіроўвае трафік у тунель, нясе і паток, які вы хацелі выключыць. Каб іх раздзяліць, патрэбна правіла, якое разглядае нешта драбнейшае за прызначэнне.

Дзве розныя намеры будуюцца двума рознымі механізмамі Windows. Іх змешванне дае палітыку, якая выглядае поўнай, але прымяняе палову задуманага.

Маршрут не можа раздзяліць дзве службы на адным адрасе

Уласнае маршруціраванне VPN заснавана на прэфіксах: яно вырашае, якія прызначэнні ідуць праз тунель, а якія застаюцца звонку. Гэта правільны інструмент, каб трымаць адну падсетку ўнутры, а другую звонку, і ён па сваёй будове сляпы да партоў. Фільтр трафіку ў профілі VPN дадае другое вымярэнне: ён супастаўляе пратакол, аддалены адрас і аддалены порт для таго, што можа прайсці праз гэты інтэрфейс. Правіла IPsec працуе ў трэцім месцы і выражае, якія патокі патрабуюць абароны і з кім яны аўтэнтыфікуюцца. Тры адказваюць на розныя пытанні, і ні адзін не замяняе іншыя.

Пачніце з таго, што запішаце патрэбны сказ. «Дазволіць толькі HTTPS» — гэта сказ пра доступ, а «патрабаваць IPsec для HTTPS» — сказ пра абарону, і яны вядуць да рознай канфігурацыі.

Абмежаванне доступу і патрабаванне абароны разыходзяцца

Абмежаванне доступу кажа, што можа карыстацца інтэрфейсам, і прымяняецца шляхам дазволу набору і адмовы ва ўсім астатнім. Патрабаванне абароны кажа, якія патокі мусяць быць зашыфраваны і аўтэнтыфікаваны, і прымяняецца шляхам перамоў аб асацыяцыях бяспекі, што ім адпавядаюць. Першае дае заблакаваны запыт, калі чагосьці няма ў спісе, а другое — злучэнне, якое або нясе патрэбную абарону, або не ўстанаўліваецца. Прымаць адно за другое — гэта шлях да палітыкі, якая нічога не блакуе або нічога не абараняе.

Практычны вынік у тым, што спіс фільтра — гэта закрыты набор. Калі спіс існуе ў профілі, трафік праз гэты інтэрфейс, які не адпавядае ні аднаму запісу, адхіляецца, таму DNS, абмены аўтэнтыфікацыі і любая залежнасць, патрэбная праграме, патрабуюць уласных запісаў. Даданне аднаго шырокага правіла, каб заглушыць адмовы, зноў адкрывае ўвесь інтэрфейс і ціха скасоўвае абмежаванне. Спіс павінен быць настолькі кароткім, наколькі дазваляе патрабаванне, і настолькі поўным, наколькі патрабуе праграма.

Пабудуйце спіс фільтра як поўны набор

Профілі VPNv2 нясуць спіс фільтра асобна ад спісу маршрутаў, і яго запісы — гэта ўласцівасці профілю, а не каманды. Для прыкладу з HTTPS запісу патрэбны пратакол 6, аддалены адрас і аддалены порт, разгорнутыя праз канал кіравання або ProfileXML для тыпу профілю, які выкарыстоўваецца. Азначэнне фільтра трафіку VPNv2 ад Microsoft сцвярджае, што ўмовы ўнутры аднаго правіла аб'ядноўваюцца, а асобныя ідэнтыфікатары правілаў дзейнічаюць як альтэрнатывы.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Значэнні партоў у гэтым спісе апісваюць порт службы на далёкім баку, а лакальны порт павінен заставацца неабмежаваным, каб эфемерны парт крыніцы кліента не быў адфільтраваны. Зваротны парадак дае правіла, якое ні з чым не супадае, і галаваломку на палову дня.

Запішыце маршрут і фільтр як два асобныя рашэнні. Маршрут вырашае, што гэты сервер дасягаецца праз тунель, а фільтр вырашае, якія службы могуць карыстацца гэтым шляхам.

Дакажыце абодва вынікі двума запытамі

Праверце дазволены паток і адхілены паток асобна і чытайце няўдачу, а не адсутную старонку. Хуткая адмова — гэта рашэнне палітыкі, а тайм-аўт хутчэй за ўсё азначае адсутны маршрут або службу, якая не слухае. Каманды ніжэй выконваюць абодва запыты і паказваюць дзеючыя правілы.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Хуткая адмова ў тэсце SMB пры паспяховым тэсце HTTPS — гэта вынік, які фільтр павінен быў даць. Адмова на абодвух партах азначае, што ў спісе не хапае чагосьці, патрэбнага сеансу, а тайм-аўт на абодвух паказвае на маршруціраванне, а не на фільтраванне. Калі абароненыя патокі паказваюць адсутнасць асацыяцыі бяспекі у вывадзе IPsec, патрабаванне абароны не выканана, нават калі злучэнне ўдалае. Чытайце ўсе чатыры вывады разам, бо кожны паасобку падтрымлівае розную версію падзей.

Запішыце дзеючы профіль, набор правілаў і палітыку суразмоўцы разам з вынікамі. Гістарычныя нататкі пра сумяшчальнасць са старымі кліентамі Windows не апісваюць, што сённяшнія функцыі кіраванага профілю падтрымліваюць на пэўным шлюзе. Паводзіны, залежныя ад версіі, належаць да запісу, а не да здагадкі.

Падобныя артыкулы