VPN filtar prometa ili IPsec pravilo: gdje Windows primjenjuje port

Ruta vidi odredište, a ne uslugu. Odlučite treba li vam filtar pristupa na VPN profilu ili IPsec pravilo koje zahtijeva zaštitu za tok.

Jedan korisnik Windows VPN-a treba dosegnuti HTTPS na serveru, a ne SMB na istom serveru, i ruta to ne može izraziti. Oba zahtjeva nose istu odredišnu adresu, pa prefiks koji šalje promet u tunel nosi i tok koji ste htjeli isključiti. Njihovo razdvajanje zahtijeva pravilo koje pregleda nešto finije od odredišta.

Dvije različite namjere grade se s dva različita Windows mehanizma. Njihovo miješanje daje politiku koja izgleda potpuna, a primjenjuje pola onoga što ste mislili.

Ruta ne može razdvojiti dvije usluge na jednoj adresi

Izvorno VPN usmjeravanje temelji se na prefiksima: odlučuje koja odredišta putuju kroz tunel, a koja ostaju izvan. To je pravi alat za držanje jedne podmreže unutra, a druge izvan, i po konstrukciji je slijepo za portove. Filtar prometa na VPN profilu dodaje drugu dimenziju: usklađuje protokol, udaljenu adresu i udaljeni port za ono što smije prijeći preko tog sučelja. IPsec pravilo radi na trećem mjestu i izražava koji tokovi zahtijevaju zaštitu i s kim se autentificiraju. Tri odgovaraju na različita pitanja i nijedno ne zamjenjuje ostala.

Počnite tako što ćete napisati željenu rečenicu. „Dozvoli samo HTTPS“ rečenica je o pristupu, dok je „zahtijevaj IPsec za HTTPS“ rečenica o zaštiti, i dvije vode različitoj konfiguraciji.

Ograničenje pristupa i zahtjev za zaštitom se razilaze

Ograničenje pristupa kaže šta smije koristiti sučelje i provodi se dopuštanjem skupa i odbijanjem svega ostalog. Zahtjev za zaštitom kaže koji tokovi moraju biti šifrovani i autentificirani i provodi se dogovaranjem sigurnosnih asocijacija koje im odgovaraju. Prvo daje blokiran zahtjev kada nečega nema na popisu, a drugo daje vezu koja ili nosi traženu zaštitu ili se ne uspostavlja. Tretirati jedno kao drugo način je da politika ne blokira ništa ili ne štiti ništa.

Praktična posljedica je da je popis filtara zatvoren skup. Kad popis postoji na profilu, promet preko tog sučelja koji ne odgovara nijednom unosu se odbija, pa DNS, razmjene autentifikacije i svaka ovisnost koja aplikaciji treba zahtijevaju vlastite unose. Dodavanje jednog širokog pravila da utiša odbijanja ponovno otvara cijelo sučelje i tiho poništava ograničenje. Popis treba biti kratak koliko zahtjev dopušta i potpun koliko aplikacija traži.

Izgradite popis filtara kao potpun skup

VPNv2 profili nose popis filtara odvojeno od popisa ruta, a njegovi unosi su svojstva profila, a ne naredbe. Za HTTPS primjer unosu trebaju protokol 6, udaljena adresa i udaljeni port, raspoređeni kroz kanal upravljanja ili ProfileXML za korišteni tip profila. Microsoftova definicija VPNv2 filtra prometa navodi da se uvjeti unutar jednog pravila kombiniraju, dok zasebni identifikatori pravila djeluju kao alternative.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Vrijednosti portova na tom popisu opisuju port usluge na udaljenoj strani, a lokalni port treba ostati neograničen kako se prolazni izvorni port klijenta ne bi filtrirao. Obrnuti redoslijed daje pravilo koje se ni s čim ne poklapa i zagonetku za cijelo poslijepodne.

Napišite rutu i filtar kao dvije odvojene odluke. Ruta odlučuje da se do tog servera dolazi kroz tunel, a filtar odlučuje koje usluge smiju koristiti taj put.

Dokažite oba ishoda s dva zahtjeva

Testirajte dopušteni tok i odbijeni tok odvojeno i čitajte neuspjeh, a ne stranicu koja nedostaje. Brzo odbijanje je odluka politike, dok je istek vremena vjerojatnije ruta koja nedostaje ili usluga koja ne sluša. Naredbe ispod pokreću oba zahtjeva i prikazuju pravila na snazi.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Brzo odbijanje na SMB testu uz uspješan HTTPS test ishod je koji je filtar trebao proizvesti. Odbijanje na oba porta znači da popisu nedostaje nešto što sesija treba, a istek vremena na oba upućuje na usmjeravanje, a ne na filtriranje. Ako zaštićeni tokovi pokazuju nema sigurnosne asocijacije u IPsec izlazu, zahtjev za zaštitom nije ispunjen čak i kad veza uspije. Čitajte sva četiri izlaza zajedno, jer svaki sam podupire drugu priču.

Zabilježite efektivni profil, skup pravila i politiku druge strane uz rezultate. Povijesne napomene o kompatibilnosti sa starijim Windows klijentima ne opisuju šta današnje značajke upravljanog profila podržavaju na određenom pristupniku. Ponašanje specifično za verziju pripada u zapis, a ne u pretpostavku.

Povezani članci