VPN-liikenteen suodatin vai IPsec-sääntö: missä Windows toteuttaa portin

Yhden Windows-VPN-käyttäjän pitäisi päästä palvelimen HTTPS:ään mutta ei saman palvelimen SMB:hen, eikä reitti voi ilmaista sitä. Molemmat pyynnöt kantavat saman kohdeosoitteen, joten etuliite, joka lähettää liikenteen tunnelin kautta, kantaa myös virran, jonka halusit sulkea pois. Niiden erottaminen vaatii säännön, joka tutkii jotain kohdetta hienojakoisempaa.

Kaksi erilaista aikomusta rakennetaan kahdella eri Windows-mekanismilla. Niiden sekoittaminen tuottaa käytännön, joka näyttää täydelliseltä mutta toteuttaa puolet siitä, mitä tarkoitit.

Reitti ei voi erottaa kahta palvelua yhdessä osoitteessa

VPN:n natiivi reititys perustuu etuliitteisiin: se päättää, mitkä kohteet kulkevat tunnelin kautta ja mitkä jäävät ulkopuolelle. Se on oikea työkalu pitämään yksi aliverkko sisällä ja toinen ulkona, ja se on rakenteellisesti sokea porteille. VPN-profiilin liikennesuodatin lisää toisen ulottuvuuden: se sovittaa protokollan, etäosoitteen ja etäportin sille, mikä saa ylittää kyseisen liittymän. IPsec-sääntö toimii kolmannessa paikassa ja ilmaisee, mitkä virrat vaativat suojauksen ja kenen kanssa ne todentuvat. Kolme vastaavat eri kysymyksiin, eikä mikään korvaa toisia.

Aloita kirjoittamalla aiottu lause. Salli vain HTTPS on käyttöoikeuslause, kun taas vaadi IPsec HTTPS:lle on suojauslause, ja kaksi johtaa eri kokoonpanoon.

Käyttörajoitus ja suojausvaatimus eroavat toisistaan

Käyttörajoitus kertoo, mikä saa käyttää liittymää, ja se toteutetaan sallimalla joukko ja hylkäämällä kaikki muu. Suojausvaatimus kertoo, mitkä virrat on salattava ja todennettava, ja se toteutetaan neuvottelemalla niitä vastaavat suojausliitokset. Ensimmäinen tuottaa estetyn pyynnön, kun jotain ei ole luettelossa, kun taas toinen tuottaa yhteyden, joka joko kantaa vaaditun suojauksen tai ei muodostu. Toisen kohteleminen toisena on tapa, jolla käytäntö päätyy estämään ei mitään tai suojaamaan ei mitään.

Käytännön seuraus on, että suodatinluettelo on suljettu joukko. Kun luettelo on profiilissa, liikenne kyseisen liittymän kautta, joka ei vastaa mitään merkintää, hylätään, joten DNS, todennusvaihdot ja jokainen sovelluksen tarvitsema riippuvuus tarvitsevat omat merkintänsä. Yhden laajan säännön lisääminen hylkäysten vaientamiseksi avaa koko liittymän uudelleen ja peruu rajoituksen hiljaisesti. Luettelon tulee olla niin lyhyt kuin vaatimus sallii ja niin täydellinen kuin sovellus vaatii.

Rakenna suodatinluettelo täydellisenä joukkona

VPNv2-profiilit kantavat suodatinluettelon erillään reittiluettelosta, ja sen merkinnät ovat profiilin ominaisuuksia eivätkä komentoja. HTTPS-esimerkissä merkintä tarvitsee protokollan 6, etäosoitteen ja etäportin, jotka otetaan käyttöön hallintakanavan tai käytettävän profiilityypin ProfileXML:n kautta. Microsoftin VPNv2-liikennesuodattimen määritelmä toteaa, että yhden säännön ehdot yhdistyvät, kun taas erilliset sääntötunnisteet toimivat vaihtoehtoina.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Luettelon porttiarvot kuvaavat palvelun portin kauimmassa päässä, ja paikallisen portin pitäisi pysyä rajoittamattomana, jotta asiakkaan hetkellinen lähdeportti ei suodatu pois. Päinvastoin tekeminen tuottaa säännön, joka ei vastaa mitään, ja pulman, joka vie iltapäivän.

Kirjoita reitti ja suodatin kahtena erillisenä päätöksenä. Reitti päättää, että tähän palvelimeen päästään tunnelin kautta, ja suodatin päättää, mitkä palvelut saavat käyttää tätä polkua.

Todista molemmat tulokset kahdella pyynnöllä

Testaa sallittu virta ja hylätty virta erikseen ja lue epäonnistuminen puuttuvan sivun sijaan. Nopeasti saapuva hylkäys on käytäntöpäätös, kun taas aikakatkaisu on todennäköisemmin puuttuva reitti tai palvelu, joka ei kuuntele. Alla olevat komennot suorittavat molemmat pyynnöt ja näyttävät voimassa olevat säännöt.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Nopea hylkäys SMB-testissä ja onnistunut HTTPS-testi on tulos, jonka suodattimen piti tuottaa. Hylkäys molemmilla porteilla tarkoittaa, että luettelosta puuttuu jotain, mitä istunto tarvitsee, ja aikakatkaisu molemmilla viittaa reititykseen eikä suodatukseen. Jos suojatut virrat näyttävät IPsec-tulosteessa ei suojausliitosta, suojausvaatimus ei täyty, vaikka yhteys onnistuisi. Lue kaikki neljä tulostetta yhdessä, sillä jokainen yksin tukee eri tarinaa.

Kirjaa voimassa oleva profiili, sääntöjoukko ja vastapuolen käytäntö tulosten rinnalle. Historialliset yhteensopivuushuomautukset vanhemmista Windows-asiakkaista eivät kuvaa, mitä nykyiset hallitut profiiliominaisuudet tukevat tietyssä yhdyskäytävässä. Versiokohtainen käyttäytyminen kuuluu kirjaukseen, ei oletukseen.