Filtre de trànsit VPN o regla IPsec: on Windows aplica un port

Un usuari de VPN de Windows hauria d'arribar a HTTPS en un servidor i no a SMB al mateix servidor, i una ruta no ho pot expressar. Totes dues peticions porten la mateixa adreça de destinació, així que el prefix que envia el trànsit al túnel també porta el flux que volies excloure. Separar-los requereix una regla que examini alguna cosa més fina que la destinació.

Dues intencions diferents es construeixen amb dos mecanismes de Windows diferents. Barrejar-los produeix una política que sembla completa mentre aplica la meitat del que volies.

Una ruta no pot separar dos serveis en una adreça

L'encaminament natiu de la VPN es basa en prefixos: decideix quines destinacions viatgen pel túnel i quines queden fora. És l'eina correcta per mantenir una subxarxa a dins i una altra a fora, i per construcció és cec als ports. Un filtre de trànsit al perfil VPN afegeix una segona dimensió: fa coincidir protocol, adreça remota i port remot per a què pot travessar aquesta interfície. Una regla IPsec treballa en un tercer lloc i expressa quins fluxos requereixen protecció i amb qui s'autentiquen. Les tres responen preguntes diferents i cap substitueix les altres.

Comença escrivint la frase que vols. Permetre només HTTPS és una frase d'accés, mentre que exigir IPsec per a HTTPS és una frase de protecció, i les dues porten a una configuració diferent.

La restricció d'accés i el requisit de protecció divergeixen

Una restricció d'accés diu què pot usar la interfície i s'aplica permetent un conjunt i refusant tota la resta. Un requisit de protecció diu quins fluxos han d'anar xifrats i autenticats i s'aplica negociant associacions de seguretat que hi coincideixin. El primer produeix una petició bloquejada quan alguna cosa no és a la llista, mentre que el segon produeix una connexió que o bé porta la protecció requerida o bé no s'estableix. Tractar un com l'altre és com una política acaba no bloquejant res o no protegint res.

La conseqüència pràctica és que una llista de filtres és un conjunt tancat. Un cop hi ha una llista al perfil, el trànsit per aquesta interfície que no coincideix amb cap entrada es refusa, així que DNS, els intercanvis d'autenticació i qualsevol dependència que l'aplicació necessiti requereixen les seves pròpies entrades. Afegir una regla àmplia per silenciar els refusos reobre tota la interfície i cancel·la la restricció en silenci. La llista ha de ser tan curta com el requisit permeti i tan completa com l'aplicació exigeixi.

Construeix la llista de filtres com un conjunt complet

Els perfils VPNv2 porten la llista de filtres per separat de la llista de rutes, i les seves entrades són propietats del perfil, no ordres. Per a l'exemple HTTPS, l'entrada necessita el protocol 6, l'adreça remota i el port remot, desplegats pel canal de gestió o ProfileXML per al tipus de perfil en ús. La definició del filtre de trànsit VPNv2 de Microsoft afirma que les condicions dins d'una regla es combinen mentre que identificadors de regla separats actuen com a alternatives.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Els valors de port d'aquesta llista descriuen el port del servei a l'extrem remot, i el port local hauria de quedar sense restriccions perquè el port d'origen efímer del client no quedi filtrat. Fer-ho al revés produeix una regla que no coincideix amb res i un trencaclosques que s'emporta una tarda.

Escriu la ruta i el filtre com dues decisions separades. La ruta decideix que aquest servidor s'assoleix pel túnel, i el filtre decideix quins serveis poden usar aquest camí.

Demostra tots dos resultats amb dues peticions

Prova el flux permès i el flux denegat per separat, i llegeix el fracàs en lloc de la pàgina que falta. Un refús que arriba de pressa és una decisió de política, mentre que un temps d'espera és més probablement una ruta que falta o un servei que no escolta. Les ordres de sota executen totes dues peticions i mostren les regles vigents.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Un rebuig ràpid a la prova SMB amb una prova HTTPS correcta és el resultat que el filtre havia de produir. Un refús als dos ports vol dir que a la llista li falta alguna cosa que la sessió necessita, i un temps d'espera als dos apunta a l'encaminament més que al filtratge. Si els fluxos protegits mostren cap associació de seguretat a la sortida d'IPsec, el requisit de protecció no es compleix encara que la connexió funcioni. Llegeix les quatre sortides juntes, perquè cadascuna per separat sosté una història diferent.

Registra el perfil efectiu, el conjunt de regles i la política de l'extrem remot al costat dels resultats. Les notes històriques de compatibilitat sobre clients de Windows antics no descriuen què admeten les funcions de perfil gestionat d'avui en una passarel·la concreta. El comportament específic de cada versió pertany al registre, no a la suposició.