VPN ટ્રાફિક ફિલ્ટર કે IPsec નિયમ: Windows ક્યાં પોર્ટ લાગુ કરે છે

એક Windows VPN વપરાશકર્તાએ સર્વર પર HTTPS સુધી પહોંચવું જોઈએ અને તે જ સર્વર પર SMB સુધી નહીં, અને રૂટ તે વ્યક્ત કરી શકતો નથી. બંને વિનંતીઓ સમાન ગંતવ્ય સરનામું ધરાવે છે, તેથી જે પ્રીફિક્સ ટ્રાફિકને ટનલમાં મોકલે છે તે તે પ્રવાહ પણ ધરાવે છે જેને તમે બહાર રાખવા માંગતા હતા. તેમને અલગ કરવા માટે એવો નિયમ જોઈએ જે ગંતવ્ય કરતાં વધુ સૂક્ષ્મ કંઈક તપાસે.

બે અલગ ઉદ્દેશો બે અલગ Windows માળખાઓથી બને છે. તેમને મિશ્ર કરવાથી એવી નીતિ બને છે જે પૂર્ણ દેખાય છે જ્યારે તમે ધાર્યું હતું તેનું અડધું જ લાગુ કરે છે.

એક રૂટ એક સરનામા પર બે સેવાઓ અલગ કરી શકતો નથી

મૂળ VPN રૂટિંગ પ્રીફિક્સ આધારિત છે: તે નક્કી કરે છે કયા ગંતવ્યો ટનલમાંથી પસાર થાય છે અને કયા બહાર રહે છે. એક સબનેટ અંદર અને બીજું બહાર રાખવા માટે તે યોગ્ય સાધન છે, અને તેની રચના અનુસાર તે પોર્ટ માટે અંધ છે. VPN પ્રોફાઇલ પરનું ટ્રાફિક ફિલ્ટર બીજું પરિમાણ ઉમેરે છે: તે પ્રોટોકોલ, દૂરસ્થ સરનામું અને દૂરસ્થ પોર્ટ ને તે માટે મેળવે છે જે તે ઇન્ટરફેસ પાર કરી શકે. IPsec નિયમ ત્રીજા સ્થાને કામ કરે છે અને વ્યક્ત કરે છે કયા પ્રવાહોને સુરક્ષા જોઈએ છે અને કોની સાથે તે પ્રમાણીકરણ કરે છે. ત્રણેય અલગ પ્રશ્નોના જવાબ આપે છે અને કોઈ પણ બીજાનું સ્થાન લેતું નથી.

ઇચ્છિત વાક્ય લખીને શરૂ કરો. ફક્ત HTTPS ને મંજૂરી આપો એ એક્સેસ વાક્ય છે, જ્યારે HTTPS માટે IPsec ની માંગ કરો એ સુરક્ષા વાક્ય છે, અને બંને અલગ રૂપરેખાંકન તરફ દોરે છે.

એક્સેસ પ્રતિબંધ અને સુરક્ષા આવશ્યકતા અલગ પડે છે

એક્સેસ પ્રતિબંધ કહે છે કે ઇન્ટરફેસનો ઉપયોગ શું કરી શકે અને તે એક સમૂહને મંજૂરી આપીને બાકીનું બધું નકારીને લાગુ કરવામાં આવે છે. સુરક્ષા આવશ્યકતા કહે છે કે કયા પ્રવાહોને એન્ક્રિપ્ટ અને પ્રમાણીકૃત કરવા જોઈએ અને તે તેમને અનુરૂપ સુરક્ષા સંલગ્નતાઓ પર વાટાઘાટ કરીને લાગુ કરવામાં આવે છે. પ્રથમ જ્યારે કંઈક યાદીમાં ન હોય ત્યારે અવરોધિત વિનંતી ઉત્પન્ન કરે છે, જ્યારે બીજું એવું જોડાણ ઉત્પન્ન કરે છે જે કાં તો જરૂરી સુરક્ષા ધરાવે છે અથવા સ્થપાતું નથી. એકને બીજા તરીકે ગણવું એ જ રીતે નીતિ અંતે કંઈ અવરોધતી નથી કે કંઈ સુરક્ષિત કરતી નથી.

વ્યવહારુ પરિણામ એ છે કે ફિલ્ટર યાદી બંધ સમૂહ છે. એકવાર પ્રોફાઇલ પર યાદી હોય, તો તે ઇન્ટરફેસ પરનો ટ્રાફિક જે કોઈ પણ એન્ટ્રી સાથે મેળ ખાતો નથી તે નકારવામાં આવે છે, તેથી DNS, પ્રમાણીકરણ વિનિમય અને એપ્લિકેશનને જોઈતી કોઈ પણ નિર્ભરતાને પોતાની એન્ટ્રીઓની જરૂર પડે છે. નકાર શાંત કરવા માટે એક પહોળો નિયમ ઉમેરવાથી આખું ઇન્ટરફેસ ફરી ખૂલી જાય છે અને પ્રતિબંધ ચુપચાપ રદ થાય છે. યાદી આવશ્યકતા જેટલી પરવાનગી આપે તેટલી ટૂંકી અને એપ્લિકેશન જેટલી માંગે તેટલી સંપૂર્ણ હોવી જોઈએ.

ફિલ્ટર યાદીને સંપૂર્ણ સમૂહ તરીકે બનાવો

VPNv2 પ્રોફાઇલ રૂટ યાદીથી અલગ ફિલ્ટર યાદી ધરાવે છે, અને તેની એન્ટ્રીઓ આદેશો નહીં પણ પ્રોફાઇલ ગુણધર્મો છે. HTTPS ઉદાહરણ માટે એન્ટ્રીને પ્રોટોકોલ 6, દૂરસ્થ સરનામું અને દૂરસ્થ પોર્ટ જોઈએ, જે વપરાયેલ પ્રોફાઇલ પ્રકાર માટે વ્યવસ્થાપન ચેનલ અથવા ProfileXML દ્વારા તૈનાત થાય છે. Microsoft ની VPNv2 ટ્રાફિક ફિલ્ટરની વ્યાખ્યા જણાવે છે કે એક નિયમની અંદરની શરતો ભેગી થાય છે જ્યારે અલગ નિયમ ઓળખકર્તાઓ વૈકલ્પિક તરીકે કાર્ય કરે છે.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

તે યાદીમાંના પોર્ટ મૂલ્યો દૂરના છેડે સેવા પોર્ટનું વર્ણન કરે છે, અને સ્થાનિક પોર્ટ અપ્રતિબંધિત રહેવો જોઈએ જેથી ક્લાયન્ટનો ક્ષણિક સ્રોત પોર્ટ ફિલ્ટર ન થાય. ઊલટું કરવાથી એવો નિયમ બને છે જે કોઈ સાથે મેળ ખાતો નથી અને એક કોયડો જે આખી બપોર લે છે.

રૂટ અને ફિલ્ટરને બે અલગ નિર્ણયો તરીકે લખો. રૂટ નક્કી કરે છે કે આ સર્વર ટનલ દ્વારા પહોંચે છે, અને ફિલ્ટર નક્કી કરે છે કે કઈ સેવાઓ તે માર્ગ વાપરી શકે છે.

બે વિનંતીઓ સાથે બંને પરિણામો સિદ્ધ કરો

મંજૂર પ્રવાહ અને નકારેલ પ્રવાહ અલગથી ચકાસો, અને ગુમ થયેલા પૃષ્ઠને બદલે નિષ્ફળતા વાંચો. ઝડપથી આવતો નકાર નીતિ નિર્ણય છે, જ્યારે સમય સમાપ્તિ વધુ સંભવતઃ ગુમ થયેલો રૂટ કે સાંભળતી ન હોય તેવી સેવા છે. નીચેની આજ્ઞાઓ બંને વિનંતીઓ ચલાવે છે અને અમલમાં રહેલા નિયમો બતાવે છે.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB પરીક્ષણમાં ઝડપી નકાર અને HTTPS પરીક્ષણમાં સફળતા એ પરિણામ છે જે ફિલ્ટરે ઉત્પન્ન કરવાનું હતું. બંને પોર્ટ પર નકાર એટલે યાદીમાં એવું કંઈક ખૂટે છે જે સત્રને જોઈએ છે, અને બંને પર સમય સમાપ્તિ ફિલ્ટરિંગને બદલે રૂટિંગ તરફ ઇશારો કરે છે. જો સુરક્ષિત પ્રવાહો IPsec આઉટપુટમાં કોઈ સુરક્ષા સંલગ્નતા નથી દર્શાવે, તો જોડાણ સફળ થાય તો પણ સુરક્ષા આવશ્યકતા પૂરી થઈ નથી. ચારેય આઉટપુટ સાથે વાંચો, કારણ કે દરેક એકલું અલગ વાર્તાને ટેકો આપે છે.

પરિણામો સાથે અમલમાં રહેલી પ્રોફાઇલ, નિયમ સમૂહ અને સામેની બાજુની નીતિ નોંધો. જૂના Windows ક્લાયન્ટ્સ વિશેની ઐતિહાસિક સુસંગતતા નોંધો એ વર્ણવતી નથી કે આજની વ્યવસ્થાપિત પ્રોફાઇલ સુવિધાઓ ચોક્કસ ગેટવે પર શું ટેકો આપે છે. સંસ્કરણ-વિશિષ્ટ વર્તન ધારણામાં નહીં, નોંધમાં હોવું જોઈએ.