VPN-ferkearsfilter of IPsec-regel: wêr't Windows in poarte twingt

In rûte sjocht in bestimming, net in tsjinst. Beslis oft jo in tagongsfilter op it VPN-profil nedich hawwe of in IPsec-regel dy't beskerming foar de stream easket.

Ien Windows-VPN-brûker moat HTTPS op in tsjinner berikke en net SMB op deselde tsjinner, en in rûte kin dat net útdrukke. Beide oanfragen drage itselde bestimmingsadres, dus it foarheaksel dat ferkear de tunnel yn stjoert draacht ek de stream dy't jo útslute woene. Har skieden freget in regel dy't eat finer as de bestimming ûndersiket.

Twa ferskillende bedoelings wurde boud mei twa ferskillende Windows-meganismen. Har mingjen leveret in belied dat folslein liket wylst it de helte fan wat jo bedoelden hanthavent.

In rûte kin twa tsjinsten op ien adres net skiede

Lânseigen VPN-routing is basearre op foarheaksels: it beslút hokker bestimmingen troch de tunnel reizgje en hokker bûten bliuwe. Dat is it juste ark om ien subnet binnen en in oar bûten te hâlden, en it is fan nature blyn foar poarten. In ferkearsfilter op it VPN-profil foeget in twadde diminsje ta: it ferliket protokol, fiere adres en fiere poarte foar wat dat ynterface oerstekke mei. In IPsec-regel wurket op in tredde plak en drukt út hokker streamen beskerming freegje en mei wa't se autentisearje. De trije beantwurdzje ferskillende fragen en gjinien ferfangt de oaren.

Begjin mei it skriuwen fan de bedoelde sin. Allinne HTTPS tastean is in tagongssin, wylst IPsec foar HTTPS easkje in beskermingssin is, en de twa liede ta oare konfiguraasje.

Tagongsbeheining en beskermingseask ferskille

In tagongsbeheining seit wat it ynterface brûke mei, en wurdt hanthavene troch in set ta te stean en al it oare te wegerjen. In beskermingseask seit hokker streamen fersifere en autentisearre wurde moatte, en wurdt hanthavene troch feiligensassosjaasjes te ûnderhanneljen dy't dêrby passe. De earste leveret in blokkearre oanfraach as eat net op 'e list stiet, wylst de twadde in ferbining leveret dy't of de frege beskerming draacht of net ta stân komt. It iene as it oare behannelje is hoe't in belied einiget mei neat blokkearje of neat beskermje.

It praktyske gefolch is dat in filterlist in sletten set is. Sadree't der in list op it profil bestiet, wurdt ferkear oer dat ynterface dat gjin inkel item past wegere, dus DNS, autentikaasje-útwikselings en elke ôfhinklikheid dy't de applikaasje nedich hat, freegje har eigen items. Ien brede regel tafoegje om de wegerings stil te meitsjen, iepenet it hiele ynterface wer en annulearret de beheining stil. De list moat sa koart wêze as de eask tastiet en sa folslein as de applikaasje freget.

Bou de filterlist as in folsleine set

VPNv2-profielen drage de filterlist apart fan de rûtelist, en har items binne profileigenskippen ynstee fan opdrachten. Foar it HTTPS-foarbyld hat it item protokol 6, it fiere adres en de fiere poarte nedich, útrôle fia it behearkanaal of ProfileXML foar it brûkte profiltyp. Microsoft syn definysje fan VPNv2-ferkearsfilter stelt dat betingsten binnen ien regel kombinearje wylst aparte regelidentifisearders as alternativen wurkje.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Poartewearden yn dy list beskriuwe de tsjinstpoarte oan 'e fiere kant, en de lokale poarte moat ûnbeheind bliuwe sadat de efemere boarnepoarte fan 'e klant net útfiltere wurdt. It oarsom dwaan leveret in regel dy't nergens by past en in riedsel dat in middei kostet.

Skriuw de rûte en it filter as twa aparte besluten. De rûte beslút dat dizze tsjinner fia de tunnel berikt wurdt, en it filter beslút hokker tsjinsten dat paad brûke meie.

Bewiis beide útkomsten mei twa oanfragen

Test de tastiene stream en de wegere stream apart, en lês it mislearjen ynstee fan 'e ûntbrekkende side. In wegering dy't fluch komt is in beliedsbeslút, wylst in tiidferrin wierskynliker in ûntbrekkende rûte of in tsjinst is dy't net harket. De opdrachten hjirûnder rinne beide oanfragen en litte de jildende regels sjen.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

In flugge wegering by de SMB-test mei in slagge HTTPS-test is de útkomst dy't it filter produsearje moatten hie. In wegering op beide poarten betsjut dat de list eat mist dat de sesje nedich hat, en in tiidferrin op beide wiist op routing ynstee fan filterjen. As de beskerme streamen gjin feiligensassosjaasje yn 'e IPsec-útgong sjen litte, is de beskermingseask net foldien sels as de ferbining slagget. Lês alle fjouwer útkommen byinoar, want elk op himsels stipet in oar ferhaal.

Skriuw it effektive profil, de regelset en it belied fan 'e oare kant by de resultaten. Histoaryske kompatibiliteitsnotysjes oer âldere Windows-klanten beskriuwe net wat de hjoeddeiske behearde profilefunksjes op in beskaat gateway stypje. Fersje-ôfhinklik gedrach heart yn it ferslach, net yn 'e oanname.

Relatearre artikelen