VPN-liikluse filter või IPsec-reegel: kus Windows porti rakendab

Marsruut näeb sihtkohta, mitte teenust. Otsustage, kas vajate VPN-profiilis juurdepääsufiltrit või IPsec-reeglit, mis nõuab voolule kaitset.

Üks Windowsi VPN-i kasutaja peaks jõudma serveris HTTPS-i, kuid mitte samas serveris SMB-ni, ja marsruut ei suuda seda väljendada. Mõlemad päringud kannavad sama sihtaadressi, seega eesliide, mis saadab liikluse tunnelisse, kannab ka voogu, mille tahtsite välja jätta. Nende eraldamine nõuab reeglit, mis uurib midagi sihtkohast peenemat.

Kaks erinevat kavatsust ehitatakse kahe erineva Windowsi mehhanismiga. Nende segamine annab poliitika, mis näeb välja täielik, kuid rakendab pool sellest, mida mõtlesite.

Marsruut ei suuda ühel aadressil kahte teenust eraldada

VPN-i loomulik marsruutimine põhineb eesliidetel: see otsustab, millised sihtkohad läbivad tunnelit ja millised jäävad välja. See on õige tööriist ühe alamsuvõrgu sees ja teise väljas hoidmiseks ning on oma ehituselt portide suhtes pime. VPN-profiili liiklusfilter lisab teise mõõtme: see sobitab protokolli, kaugema aadressi ja kaugema pordi sellele, mis võib seda liidest ületada. IPsec-reegel töötab kolmandas kohas ja väljendab, millised vood nõuavad kaitset ja kellega need autenditakse. Kolm vastavad erinevatele küsimustele ja ükski ei asenda teisi.

Alustage soovitud lause kirjutamisest. Luba ainult HTTPS on juurdepääsulause, samas kui nõua HTTPS-ile IPsec on kaitselause, ja kaks viivad erineva seadistuseni.

Juurdepääsupiirang ja kaitse nõue lahknevad

Juurdepääsupiirang ütleb, mis tohib liidest kasutada, ja seda rakendatakse hulga lubamise ning kõige muu keelamisega. Kaitse nõue ütleb, millised vood tuleb krüpteerida ja autentida, ja seda rakendatakse neile vastavate turbeseoste läbirääkimisega. Esimene annab blokeeritud päringu, kui midagi pole loendis, teine aga ühenduse, mis kas kannab nõutud kaitset või ei tule üldse püsti. Ühte teisega segi ajades jõuab poliitika selleni, et ei blokeeri midagi või ei kaitse midagi.

Praktiline tagajärg on see, et filtriloend on suletud hulk. Kui profiilis on loend olemas, keeldutakse selle liidese liiklusest, mis ei vasta ühelegi kirjele, seega DNS, autentimisvahetused ja iga sõltuvus, mida rakendus vajab, nõuavad oma kirjeid. Ühe laia reegli lisamine keeldumiste vaigistamiseks avab uuesti kogu liidese ja tühistab piirangu vaikselt. Loend peaks olema nii lühike, kui nõue lubab, ja nii täielik, kui rakendus nõuab.

Ehitage filtriloend täieliku hulgana

VPNv2-profiilid kannavad filtriloendit marsruudiloendist eraldi ja selle kirjed on profiili omadused, mitte käsud. HTTPS-i näite jaoks vajab kirje protokolli 6, kaugemat aadressi ja kaugemat porti, mis juurutatakse halduskanali või kasutatava profiilitüübi ProfileXML-i kaudu. Microsofti VPNv2 liiklusfiltri määratlus kinnitab, et ühe reegli sees olevad tingimused ühinevad, samas kui eraldi reeglitunnused toimivad alternatiividena.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Selle loendi pordiväärtused kirjeldavad teenuse porti kaugemas otsas ja kohalik port peaks jääma piiramata, et kliendi efemeerne lähteporti ei filtreeritaks välja. Vastupidi tehes saate reegli, mis ei sobi millegagi, ja mõistatuse, mis võtab terve pärastlõuna.

Kirjutage marsruut ja filter kahe eraldi otsusena. Marsruut otsustab, et see server on tunnelist saavutatav, ja filter otsustab, millised teenused tohivad seda teed kasutada.

Tõestage mõlemad tulemused kahe päringuga

Katsetage lubatud voogu ja keelatud voogu eraldi ning lugege ebaõnnestumist, mitte puuduvat lehte. Kiiresti saabuv keeldumine on poliitika otsus, samas kui aegumine on tõenäolisemalt puuduv marsruut või teenus, mis ei kuula. Allolevad käsud käivitavad mõlemad päringud ja näitavad kehtivaid reegleid.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Kiire keeldumine SMB-testis koos eduka HTTPS-testiga on tulemus, mille filter pidi andma. Keeldumine mõlemal pordil tähendab, et loendist puudub midagi, mida seanss vajab, ja aegumine mõlemal viitab pigem marsruutimisele kui filtreerimisele. Kui kaitstud vood näitavad IPsec-väljundis turvasseose puudumist, ei ole kaitsenõue täidetud isegi siis, kui ühendus õnnestub. Lugege kõiki nelja väljundit koos, sest igaüks üksi toetab erinevat lugu.

Kirjutage kordaminev profiil, reeglistik ja partneri poliitika koos tulemustega. Ajaloolised ühilduvusmärkused vanemate Windowsi klientide kohta ei kirjelda, mida tänased hallatava profiili funktsioonid konkreetses lüüsis toetavad. Versioonipõhine käitumine kuulub kirjesse, mitte eeldusse.

Seotud artiklid