VPN trafiko-iragazkia edo IPsec araua: non ezartzen duen Windows-ek portu bat

Windows VPN erabiltzaile batek zerbitzari batean HTTPS-ra iritsi behar du eta zerbitzari berean SMB-ra ez, eta bide batek ezin du hori adierazi. Bi eskaerek helmuga-helbide bera daramate, beraz tunelera trafikoa bidaltzen duen aurrizkiak kanpoan utzi nahi zenuen fluxua ere darama. Hauek bereizteko helmuga baino zerbait finagoa aztertzen duen araua behar da.

Asmo ezberdin bi Windows mekanismo ezberdinekin eraikitzen dira. Hauek nahasteak osatuta dirudien politika sortzen du, baina zure asmoaren erdia baino ez du ezartzen.

Bide batek ezin ditu bi zerbitzu helbide bakarrean bereizi

VPN bideratze natiboa aurrizkietan oinarritzen da: zein helmugak tunelatik igarotzen diren eta zein kanpoan geratzen diren erabakitzen du. Tresna egokia da azpisare bat barruan eta beste bat kanpoan mantentzeko, eta eraikuntzaz itsua da portuei. VPN profileko trafiko-iragazkiak bigarren dimentsio bat gehitzen du: protokoloa, urrutiko helbidea eta urrutiko portua konparatzen ditu interfaze hori zeharka dezaketenentzat. IPsec araua hirugarren tokian lan egiten du eta zein fluxuk eskatzen duten babesa eta norekin autentifikatzen diren adierazten du. Hirurek galdera ezberdinei erantzuten diete eta batek ez du bestea ordezkatzen.

Hasi nahi duzun esaldia idatziz. HTTPS soilik baimendu sarbide-esaldia da, eta HTTPSrako IPsec eskatu babes-esaldia da, eta biek konfigurazio ezberdinera eramaten dute.

Sarbide-murrizketa eta babes-eskakizuna aldendu egiten dira

Sarbide-murrizketa batek interfazea zerk erabil dezakeen esaten du, eta multzo bat baimenduz eta gainerako guztia ukatuz ezartzen da. Babes-eskakizun batek zein fluxuk izan behar duten zifratuta eta autentifikatuta esaten du, eta haiei dagozkien segurtasun-elkarteak negoziatuz ezartzen da. Lehenengoak blokeatutako eskaera sortzen du zerbait zerrendan ez dagoenean, bigarrenak berriz eskatutako babesa daraman edo ezartzen ez den konexio bat sortzen du. Bata bestearen moduan tratatzea da politika batek ezer blokeatzen ez edo ezer babesten ez duenean amaitzeko modua.

Ondorio praktikoa iragazki-zerrenda multzo itxia dela da. Behin profilean zerrenda bat dagoenean, interfaze horretatik sarrerarik bat ere ez duen trafikoak ukoa jasaten du, beraz DNSek, autentifikazio-trukeek eta aplikazioak behar duen menpekotasun orok beren sarrerak behar dituzte. Ukoak isilarazteko arau zabal bat gehitzeak interfaze osoa berriro irekitzen du eta murrizketa isilka deuseztatzen du. Zerrenda behar den bezain laburra eta aplikazioak eskatzen duen bezain osoa izan behar da.

Eraiki iragazki-zerrenda multzo oso gisa

VPNv2 profilek iragazki-zerrenda bide-zerrendatik bereizita daramate, eta bere sarrerak profilaren propietateak dira, ez aginduak. HTTPS adibiderako sarrerak 6 protokoloa, urrutiko helbidea eta urrutiko portua behar ditu, erabiltzen ari den profil motarako kudeaketa-kanalaren edo ProfileXMLren bidez zabalduta. Microsoft-en VPNv2 trafiko-iragazkiaren definizioak dio arau baten barruko baldintzak konbinatu egiten direla, eta arau-identifikatzaile bereiziak alternatiba gisa aritzen direla.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Zerrenda horretako portu-balioek urruneko muturreko zerbitzu-portua deskribatzen dute, eta bertako portuak mugagabe egon behar du bezeroaren iturburu-portu iragankorra ez iragazteko. Alderantziz eginez gero, batekin ere bat ez datorren araua eta arratsalde oso bat hartzen duen buruhausketa sortzen dira.

Idatzi bidea eta iragazkia bi erabaki bereizi gisa. Bideak zerbitzari hau tunelaren bidez lortzen dela erabakitzen du, eta iragazkiak zein zerbitzuk erabil dezaketen bide hori.

Frogatu bi emaitzak bi eskaerekin

Probatu baimendutako fluxua eta ukatuako fluxua bereizita, eta irakurri hutsegitea falta den orrialdea beharrean. Azkar iristen den ukoa politika-erabakia da, eta denbora-muga berriz falta den bide bat edo entzuten ari ez den zerbitzu bat izateko aukera handiagoa da. Beheko aginduek bi eskaerak exekutatzen dituzte eta indarrean dauden arauak erakusten.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB proban uko azkarra eta HTTPS proban arrakasta da iragazkiak sortu behar zuen emaitza. Bi portuetan ukoa izateak zerrendak saioak behar duen zerbait falta duela esan nahi du, eta bietan denbora-mugak bideratzeari eta ez iragazketari erreferentzia egiten dio. Babestutako fluxuek IPsec irteeran segurtasun-elkarterik ez erakusten badute, babes-eskakizuna ez da betetzen konexioak arrakasta izan arren. Irakurri lau irteerak elkarrekin, bakoitzak bere aldetik istorio ezberdina jasaten baitu.

Erregistratu profil eraginkorra, arau-multzoa eta parekoaren politika emaitzekin batera. Windows bezero zaharrei buruzko bateragarritasun-ohar historikoek ez dute deskribatzen gaur egungo profil kudeatuen funtzioek gateway jakin batean zer onartzen duten. Bertsioaren araberako portaera erregistroan dagokio, ez supozizioan.