Filtr provozu VPN nebo pravidlo IPsec: kde Windows vynucuje port

Trasa vidí cíl, ne službu. Rozhodněte, zda potřebujete přístupový filtr v profilu VPN, nebo pravidlo IPsec vyžadující ochranu toku.

Jeden uživatel Windows VPN má dosáhnout HTTPS na serveru a ne SMB na stejném serveru, a trasa to vyjádřit nedokáže. Oba požadavky nesou stejnou cílovou adresu, takže prefix, který posílá provoz do tunelu, nese i tok, který jste chtěli vyloučit. Jejich oddělení vyžaduje pravidlo, které zkoumá něco jemnějšího než cíl.

Dva různé záměry se stavějí dvěma různými mechanismy Windows. Jejich smícháním vznikne zásada, která vypadá úplně, ale vynucuje polovinu toho, co jste měli na mysli.

Trasa nedokáže oddělit dvě služby na jedné adrese

Nativní směrování VPN je založené na prefixech: rozhoduje, které cíle putují tunelem a které zůstávají venku. To je správný nástroj pro udržení jedné podsítě uvnitř a druhé venku a svou konstrukcí je slepé vůči portům. Filtr provozu v profilu VPN přidává druhý rozměr: porovnává protokol, vzdálenou adresu a vzdálený port pro to, co smí dané rozhraní přejít. Pravidlo IPsec pracuje na třetím místě a vyjadřuje, které toky vyžadují ochranu a s kým se ověřují. Ty tři odpovídají na různé otázky a žádný nenahrazuje ostatní.

Začněte tím, že napíšete zamýšlenou větu. Povolit jen HTTPS je věta o přístupu, zatímco vyžadovat IPsec pro HTTPS je věta o ochraně, a obě vedou k jiné konfiguraci.

Omezení přístupu a požadavek na ochranu se rozcházejí

Omezení přístupu říká, co smí rozhraní používat, a vynucuje se povolením množiny a odmítnutím všeho ostatního. Požadavek na ochranu říká, které toky musí být šifrované a ověřené, a vynucuje se vyjednáním bezpečnostních asociací, které jim odpovídají. První vytvoří blokovaný požadavek, když něco není v seznamu, zatímco druhý vytvoří spojení, které buď nese požadovanou ochranu, nebo se nenaváže. Zacházet s jedním jako s druhým je způsob, jak zásada nakonec neblokuje nic nebo nechrání nic.

Praktickým důsledkem je, že seznam filtrů je uzavřená množina. Jakmile v profilu seznam existuje, provoz přes dané rozhraní, který neodpovídá žádné položce, je odmítnut, takže DNS, výměny ověřování a jakákoli závislost, kterou aplikace potřebuje, vyžadují vlastní položky. Přidání jednoho širokého pravidla, které odmítání umlčí, znovu otevře celé rozhraní a tiše zruší omezení. Seznam má být tak krátký, jak požadavek dovolí, a tak úplný, jak aplikace vyžaduje.

Sestavte seznam filtrů jako úplnou množinu

Profily VPNv2 nesou seznam filtrů odděleně od seznamu tras a jeho položky jsou vlastnosti profilu, nikoli příkazy. Pro příklad s HTTPS potřebuje položka protokol 6, vzdálenou adresu a vzdálený port, nasazené přes kanál správy nebo ProfileXML pro použitý typ profilu. Definice filtru provozu VPNv2 od Microsoftu uvádí, že podmínky uvnitř jednoho pravidla se kombinují, zatímco samostatné identifikátory pravidel působí jako alternativy.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Hodnoty portů v tomto seznamu popisují port služby na vzdáleném konci a místní port má zůstat neomezený, aby se efemérní zdrojový port klienta neodfiltroval. Opačné pořadí vytvoří pravidlo, které neodpovídá ničemu, a hlavolam na celé odpoledne.

Napište trasu a filtr jako dvě samostatná rozhodnutí. Trasa rozhoduje, že se na tento server dostaneme tunelem, a filtr rozhoduje, které služby smějí tuto cestu použít.

Dokažte oba výsledky dvěma požadavky

Otestujte povolený tok a odmítnutý tok odděleně a čtěte selhání, ne chybějící stránku. Rychlé odmítnutí je rozhodnutí zásady, zatímco vypršení času je spíše chybějící trasa nebo služba, která neposlouchá. Příkazy níže spustí oba požadavky a ukážou platná pravidla.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Rychlé odmítnutí v testu SMB při úspěšném testu HTTPS je výsledek, který měl filtr vytvořit. Odmítnutí na obou portech znamená, že seznamu chybí něco, co relace potřebuje, a vypršení času na obou ukazuje na směrování, ne na filtrování. Pokud chráněné toky ve výstupu IPsec ukazují žádnou bezpečnostní asociaci, požadavek na ochranu není splněn, i když spojení uspěje. Čtěte všechny čtyři výstupy společně, protože každý sám podporuje jiný příběh.

Zaznamenejte účinný profil, sadu pravidel a zásadu protistrany spolu s výsledky. Historické poznámky o kompatibilitě se staršími klienty Windows nepopisují, co dnešní funkce spravovaného profilu podporují na konkrétní bráně. Chování specifické pro verzi patří do záznamu, ne do předpokladu.

Související články