فیلتر ترافیک VPN یا قاعده IPsec: ویندوز کجا پورت را اعمال می‌کند

یک کاربر VPN در ویندوز باید به HTTPS روی یک سرور دست یابد و نه به SMB روی همان سرور، و مسیر نمی‌تواند این را بیان کند. هر دو درخواست همان نشانی مقصد را حمل می‌کنند، پس پیشوندی که ترافیک را به تونل می‌فرستد جریانی را نیز حمل می‌کند که می‌خواستید حذف کنید. جداسازی آنها به قاعده‌ای نیاز دارد که چیزی دقیق‌تر از مقصد را بررسی کند.

دو قصد متفاوت با دو سازوکار متفاوت ویندوز ساخته می‌شوند. آمیختن آنها خط‌مشی‌ای می‌سازد که کامل به نظر می‌رسد اما نیمی از آنچه را که در نظر داشتید اعمال می‌کند.

یک مسیر نمی‌تواند دو سرویس را روی یک نشانی جدا کند

مسیریابی بومی VPN بر پیشوندها تکیه دارد: تصمیم می‌گیرد کدام مقصدها از تونل عبور کنند و کدام بیرون بمانند. این ابزار درست برای نگه‌داشتن یک زیرشبکه درون و دیگری بیرون است و به‌طور ساختاری نسبت به پورت‌ها کور است. فیلتر ترافیک روی پروفایل VPN بُعد دومی می‌افزاید: پروتکل، نشانی دوردست و پورت دوردست را برای آنچه می‌تواند از این رابط عبور کند تطبیق می‌دهد. قاعده IPsec در جای سوم کار می‌کند و بیان می‌کند کدام جریان‌ها به حفاظت نیاز دارند و با چه کسی احراز هویت می‌کنند. هر سه به پرسش‌های متفاوتی پاسخ می‌دهند و هیچ‌یک جایگزین دیگری نیست.

با نوشتن جمله مورد نظر شروع کنید. «فقط HTTPS را مجاز کن» جمله دسترسی است، در حالی که «برای HTTPS، IPsec را الزامی کن» جمله حفاظت است، و این دو به پیکربندی متفاوت می‌رسند.

محدودیت دسترسی و الزام حفاظت از هم جدا می‌شوند

محدودیت دسترسی می‌گوید چه چیزی می‌تواند از رابط استفاده کند و با مجاز کردن یک مجموعه و رد همه چیز دیگر اعمال می‌شود. الزام حفاظت می‌گوید کدام جریان‌ها باید رمزگذاری و احراز هویت شوند و با مذاکره بر انجمن‌های امنیتی که با آنها منطبق‌اند اعمال می‌شود. اولی وقتی چیزی در فهرست نیست درخواست مسدود تولید می‌کند، در حالی که دومی اتصالی تولید می‌کند که یا حفاظت لازم را حمل می‌کند یا برقرار نمی‌شود. یکی را به‌جای دیگری گرفتن همان روشی است که یک خط‌مشی در نهایت هیچ چیز را مسدود یا هیچ چیز را حفاظت نمی‌کند.

پیامد عملی این است که فهرست فیلتر یک مجموعه بسته است. وقتی فهرستی در پروفایل وجود داشته باشد، ترافیک روی آن رابط که با هیچ ورودی مطابقت ندارد رد می‌شود، بنابراین DNS، تبادل‌های احراز هویت و هر وابستگی که برنامه به آن نیاز دارد ورودی‌های خود را می‌خواهند. افزودن یک قاعده گسترده برای خاموش کردن ردها کل رابط را دوباره باز می‌کند و محدودیت را بی‌صدا لغو می‌کند. فهرست باید تا آنجا که الزام اجازه می‌دهد کوتاه و تا آنجا که برنامه می‌طلبد کامل باشد.

فهرست فیلتر را به‌عنوان یک مجموعه کامل بسازید

پروفایل‌های VPNv2 فهرست فیلتر را جدا از فهرست مسیرها حمل می‌کنند و ورودی‌های آن ویژگی‌های پروفایل هستند نه فرمان. برای نمونه HTTPS، ورودی به پروتکل 6، نشانی دوردست و پورت دوردست نیاز دارد که از طریق کانال مدیریت یا ProfileXML برای نوع پروفایل در استفاده منتشر می‌شود. تعریف فیلتر ترافیک VPNv2 از مایکروسافت بیان می‌کند که شرط‌های درون یک قاعده با هم ترکیب می‌شوند در حالی که شناسه‌های قاعده جداگانه به‌عنوان گزینه‌های جایگزین عمل می‌کنند.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

مقادیر پورت در آن فهرست، پورت سرویس در انتهای دور را توصیف می‌کند و پورت محلی باید بی‌محدودیت بماند تا پورت مبدأ گذرای مشتری فیلتر نشود. برعکس انجام دادن آن قاعده‌ای می‌سازد که با هیچ چیز مطابقت ندارد و معمایی که یک بعدازظهر را می‌گیرد.

مسیر و فیلتر را دو تصمیم جداگانه بنویسید. مسیر تصمیم می‌گیرد که این سرور از طریق تونل در دسترس است و فیلتر تصمیم می‌گیرد کدام سرویس‌ها می‌توانند از آن مسیر استفاده کنند.

هر دو نتیجه را با دو درخواست اثبات کنید

جریان مجاز و جریان ردشده را جداگانه آزمایش کنید و شکست را بخوانید نه صفحه گمشده را. ردی که سریع می‌رسد یک تصمیم خط‌مشی است، در حالی که اتمام زمان بیشتر نشانه مسیر گمشده یا سرویسی است که گوش نمی‌دهد. فرمان‌های زیر هر دو درخواست را اجرا می‌کنند و قاعده‌های در حال اجرا را نشان می‌دهند.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

رد سریع در آزمایش SMB همراه با موفقیت آزمایش HTTPS همان نتیجه‌ای است که فیلتر باید تولید می‌کرد. رد در هر دو پورت یعنی فهرست چیزی را کم دارد که نشست به آن نیاز دارد، و اتمام زمان در هر دو به مسیریابی اشاره دارد نه فیلتر کردن. اگر جریان‌های محافظت‌شده در خروجی IPsec نبود انجمن امنیتی را نشان دهند، الزام حفاظت حتی وقتی اتصال موفق است برآورده نشده است. هر چهار خروجی را با هم بخوانید، زیرا هر یک به‌تنهایی روایت متفاوتی را پشتیبانی می‌کند.

پروفایل مؤثر، مجموعه قاعده‌ها و خط‌مشی طرف مقابل را همراه با نتایج ثبت کنید. یادداشت‌های سازگاری تاریخی درباره مشتری‌های قدیمی ویندوز توصیف نمی‌کنند که ویژگی‌های پروفایل مدیریت‌شده امروز روی یک دروازه مشخص از چه چیزی پشتیبانی می‌کنند. رفتار وابسته به نسخه به ثبت تعلق دارد نه به فرض.