Hidlydd traffig VPN neu reol IPsec: lle mae Windows yn gorfodi porth

Dylai un defnyddiwr VPN Windows gyrraedd HTTPS ar weinydd ac nid SMB ar yr un gweinydd, ac ni all llwybr fynegi hynny. Mae'r ddau gais yn cario'r un cyfeiriad cyrchfan, felly mae'r rhagddodiad sy'n anfon traffig i'r twnnel hefyd yn cario'r llif yr oeddech am ei eithrio. Mae eu gwahanu'n gofyn am reol sy'n archwilio rhywbeth mwy manwl na'r gyrchfan.

Adeiledir dau fwriad gwahanol â dau fecanwaith gwahanol yn Windows. Mae eu cymysgu'n cynhyrchu polisi sy'n edrych yn gyflawn wrth orfodi hanner yr hyn a olygech.

Ni all llwybr wahanu dau wasanaeth ar un cyfeiriad

Mae llwybro brodorol VPN yn seiliedig ar ragddodiadau: mae'n penderfynu pa gyrchfannau sy'n teithio drwy'r twnnel a pha rai sy'n aros y tu allan. Dyna'r offeryn cywir ar gyfer cadw un isrwyd ar y tu mewn a'r llall y tu allan, ac mae'n ddall i borthladdoedd o ran ei adeiladwaith. Mae hidlydd traffig ar y proffil VPN yn ychwanegu ail ddimensiwn: mae'n cydweddu protocol, cyfeiriad pell a phorth pell ar gyfer yr hyn a gaiff groesi'r rhyngwyneb hwnnw. Mae rheol IPsec yn gweithio mewn trydydd lle, gan fynegi pa lifau sy'n gofyn am amddiffyniad a chyda phwy y maent yn dilysu. Mae'r tri yn ateb cwestiynau gwahanol ac nid oes yr un yn cymryd lle'r lleill.

Dechreuwch drwy ysgrifennu'r frawddeg a fwriedir. Caniatáu HTTPS yn unig yw brawddeg mynediad, tra bod gofyn am IPsec ar gyfer HTTPS yn frawddeg amddiffyniad, ac mae'r ddwy'n arwain at gyfluniad gwahanol.

Mae cyfyngiad mynediad a gofyniad amddiffyniad yn dargyfeirio

Mae cyfyngiad mynediad yn dweud beth a gaiff ddefnyddio'r rhyngwyneb, a'i orfodi drwy ganiatáu set a gwrthod popeth arall. Mae gofyniad amddiffyniad yn dweud pa lifau sy'n rhaid eu hamgryptio a'u dilysu, a'i orfodi drwy drafod cymdeithasau diogelwch sy'n cyfateb iddynt. Mae'r cyntaf yn cynhyrchu cais a rwystrwyd pan nad yw rhywbeth ar y rhestr, tra bod yr ail yn cynhyrchu cysylltiad sydd naill ai'n cario'r amddiffyniad gofynnol neu'n methu â sefydlu. Trin y naill fel y llall yw sut mae polisi'n gorffen heb rwystro dim neu heb amddiffyn dim.

Y canlyniad ymarferol yw bod rhestr hidlo'n set gaeëdig. Unwaith y bydd rhestr ar y proffil, gwrthodir traffig dros y rhyngwyneb hwnnw nad yw'n cyfateb i unrhyw gofnod, felly mae angen cofnodion eu hunain ar DNS, cyfnewidiadau dilysu ac unrhyw ddibyniaeth y mae'r cymhwysiad ei hangen. Mae ychwanegu un rheol eang i dawelu'r gwrthodiadau'n ailagor y rhyngwyneb cyfan ac yn canslo'r cyfyngiad yn dawel. Dylai'r rhestr fod mor fyr ag y mae'r gofyniad yn ei ganiatáu ac mor gyflawn ag y mae'r cymhwysiad yn ei fynnu.

Adeiladwch y rhestr hidlo fel set gyflawn

Mae proffiliau VPNv2 yn cario'r rhestr hidlo ar wahân i'r rhestr llwybrau, ac mae ei chofnodion yn briodweddau proffil yn hytrach na gorchmynion. Ar gyfer yr enghraifft HTTPS mae angen protocol 6, y cyfeiriad pell a'r porth pell ar y cofnod, wedi'u defnyddio drwy'r sianel reoli neu ProfileXML ar gyfer y math o broffil a ddefnyddir. Mae diffiniad hidlydd traffig VPNv2 Microsoft yn datgan bod amodau o fewn un rheol yn cyfuno tra bod dynodwyr rheol ar wahân yn gweithredu fel dewisiadau eraill.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Mae gwerthoedd porth yn y rhestr honno'n disgrifio porth y gwasanaeth yn y pen pell, ac fe ddylai'r porth lleol aros heb ei gyfyngu fel na fydd porth tarddu dros dro'r cleient yn cael ei hidlo allan. Mae cael hynny o chwith yn cynhyrchu rheol nad yw'n cyfateb i ddim a phosyn sy'n cymryd prynhawn i'w ddatrys.

Ysgrifennwch y llwybr a'r hidlydd fel dau benderfyniad ar wahân. Mae'r llwybr yn penderfynu cyrraedd y gweinydd hwn drwy'r twnnel, ac mae'r hidlydd yn penderfynu pa wasanaethau a gaiff ddefnyddio'r llwybr hwnnw.

Profwch y ddau ganlyniad â dau gais

Profwch y llif a ganiateir a'r llif a wrthodir ar wahân, a darllenwch y methiant yn hytrach na'r dudalen sydd ar goll. Mae gwrthodiad sy'n cyrraedd yn gyflym yn benderfyniad polisi, tra bod terfyn amser yn fwy tebygol o lwybr sydd ar goll neu wasanaeth nad yw'n gwrando. Mae'r gorchmynion isod yn rhedeg y ddau gais ac yn dangos y rheolau sydd mewn grym.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Gwrthodiad cyflym yn y prawf SMB gyda phrawf HTTPS llwyddiannus yw'r canlyniad yr oedd yr hidlydd i fod i'w gynhyrchu. Mae gwrthodiad ar y ddau borth yn golygu bod rhywbeth y mae'r sesiwn ei angen ar goll o'r rhestr, ac mae terfyn amser ar y ddau yn cyfeirio at lwybro yn hytrach nag at hidlo. Os yw'r llifau a amddiffynnir yn dangos dim cymdeithas diogelwch yn allbwn IPsec, nid yw'r gofyniad amddiffyniad wedi'i fodloni hyd yn oed pan fydd y cysylltiad yn llwyddo. Darllenwch y pedwar allbwn gyda'i gilydd, oherwydd mae pob un ar ei ben ei hun yn cefnogi stori wahanol.

Cofnodwch y proffil effeithiol, y set rheolau a pholisi'r cymar ochr yn ochr â'r canlyniadau. Nid yw nodiadau cydnawsedd hanesyddol am hen gleientiaid Windows yn disgrifio'r hyn y mae nodweddion proffil a reolir heddiw yn ei gefnogi ar borth penodol. Mae ymddygiad sy'n benodol i fersiwn yn perthyn i'r cofnod yn hytrach nag i'r rhagdybiaeth.