VPN ट्रैफ़िक फ़िल्टर या IPsec नियम: Windows कहाँ पोर्ट लागू करता है

Windows VPN का एक उपयोगकर्ता किसी सर्वर पर HTTPS तक पहुँचे और उसी सर्वर पर SMB तक नहीं, और कोई रूट यह नहीं बता सकता। दोनों अनुरोध एक ही गंतव्य पता लेकर चलते हैं, इसलिए जो प्रीफ़िक्स ट्रैफ़िक को टनल में भेजता है वह उस प्रवाह को भी ले जाता है जिसे आप बाहर रखना चाहते थे। इन्हें अलग करने के लिए ऐसा नियम चाहिए जो गंतव्य से अधिक सूक्ष्म किसी चीज़ की जाँच करे।

दो अलग इरादे दो अलग Windows तंत्रों से बनते हैं। इन्हें मिलाने से ऐसी नीति बनती है जो पूरी दिखती है परंतु आपके इरादे का आधा हिस्सा ही लागू करती है।

एक रूट एक पते पर दो सेवाएँ अलग नहीं कर सकता

मूल VPN रूटिंग प्रीफ़िक्स आधारित है: यह तय करती है कि कौन-से गंतव्य टनल से जाते हैं और कौन-से बाहर रहते हैं। एक सबनेट अंदर और दूसरा बाहर रखने के लिए यह सही साधन है, और रचना से ही यह पोर्टों के प्रति अंधा है। VPN प्रोफ़ाइल पर ट्रैफ़िक फ़िल्टर दूसरा आयाम जोड़ता है: वह प्रोटोकॉल, दूरस्थ पता और दूरस्थ पोर्ट को उस चीज़ के लिए मिलाता है जो उस इंटरफ़ेस को पार कर सकती है। IPsec नियम तीसरी जगह काम करता है और बताता है कि कौन-से प्रवाह सुरक्षा माँगते हैं और किनके साथ वे प्रमाणित होते हैं। तीनों अलग-अलग प्रश्नों के उत्तर देते हैं और कोई किसी का विकल्प नहीं है।

शुरुआत इच्छित वाक्य लिखकर करें। केवल HTTPS की अनुमति देना एक्सेस वाक्य है, जबकि HTTPS के लिए IPsec माँगना सुरक्षा वाक्य है, और दोनों अलग कॉन्फ़िगरेशन की ओर ले जाते हैं।

एक्सेस प्रतिबंध और सुरक्षा की माँग अलग राह चलते हैं

एक्सेस प्रतिबंध बताता है कि इंटरफ़ेस का उपयोग क्या कर सकता है, और इसे एक समूह को अनुमति देकर बाकी सबको अस्वीकार करके लागू किया जाता है। सुरक्षा की माँग बताती है कि कौन-से प्रवाह एन्क्रिप्ट और प्रमाणित होने चाहिए, और इसे उनसे मेल खाते सुरक्षा साहचर्यों पर बातचीत करके लागू किया जाता है। पहला तब अवरुद्ध अनुरोध बनाता है जब कुछ सूची में न हो, जबकि दूसरा ऐसा कनेक्शन बनाता है जो या तो माँगी गई सुरक्षा लेकर चलता है या स्थापित ही नहीं होता। एक को दूसरे की तरह मानना वही तरीका है जिससे नीति अंततः कुछ भी अवरुद्ध या सुरक्षित नहीं करती।

व्यावहारिक परिणाम यह है कि फ़िल्टर सूची एक बंद समूह है। प्रोफ़ाइल पर सूची होने के बाद, उस इंटरफ़ेस पर वह ट्रैफ़िक अस्वीकार हो जाता है जो किसी भी प्रविष्टि से मेल नहीं खाता, इसलिए DNS, प्रमाणन के आदान-प्रदान और एप्लिकेशन को चाहिए किसी भी निर्भरता के अपने प्रविष्टियाँ चाहिए। अस्वीकृतियों को शांत करने के लिए एक चौड़ा नियम जोड़ने से पूरा इंटरफ़ेस फिर खुल जाता है और प्रतिबंध चुपचाप रद्द हो जाता है। सूची उतनी छोटी होनी चाहिए जितनी माँग अनुमति दे और उतनी पूरी जितनी एप्लिकेशन माँगे।

फ़िल्टर सूची को पूरा समूह बनाएँ

VPNv2 प्रोफ़ाइल रूट सूची से अलग फ़िल्टर सूची रखते हैं, और उसकी प्रविष्टियाँ आदेश नहीं बल्कि प्रोफ़ाइल गुण हैं। HTTPS उदाहरण के लिए प्रविष्टि को प्रोटोकॉल 6, दूरस्थ पता और दूरस्थ पोर्ट चाहिए, जो प्रयुक्त प्रोफ़ाइल प्रकार के लिए प्रबंधन चैनल या ProfileXML से तैनात किए जाते हैं। Microsoft की VPNv2 ट्रैफ़िक फ़िल्टर की परिभाषा कहती है कि एक नियम के भीतर की शर्तें मिलती हैं जबकि अलग नियम पहचानकर्ता विकल्प के रूप में काम करते हैं।

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

उस सूची में पोर्ट मान दूर के सिरे पर सेवा पोर्ट बताते हैं, और स्थानीय पोर्ट अप्रतिबंधित रहना चाहिए ताकि क्लाइंट का क्षणिक स्रोत पोर्ट फ़िल्टर न हो जाए। उलटा करने से ऐसा नियम बनता है जो किसी से मेल नहीं खाता और एक पहेली जो पूरी दोपहर ले लेती है।

रूट और फ़िल्टर को दो अलग निर्णयों के रूप में लिखें। रूट तय करता है कि इस सर्वर तक टनल से पहुँचा जाता है, और फ़िल्टर तय करता है कि कौन-सी सेवाएँ उस मार्ग का उपयोग कर सकती हैं।

दो अनुरोधों से दोनों परिणाम सिद्ध करें

अनुमत प्रवाह और अस्वीकृत प्रवाह को अलग-अलग जाँचें, और गुम पृष्ठ के बजाय विफलता पढ़ें। जल्दी आने वाला इनकार नीति का निर्णय है, जबकि समय-समाप्ति अधिक संभावित रूप से गुम मार्ग या सुनाई न देने वाली सेवा है। नीचे के आदेश दोनों अनुरोध चलाते हैं और प्रभावी नियम दिखाते हैं।

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB परीक्षण में तेज़ इनकार और HTTPS परीक्षण में सफलता वही परिणाम है जो फ़िल्टर को देना था। दोनों पोर्टों पर इनकार का अर्थ है कि सूची में वह कुछ गुम है जो सत्र को चाहिए, और दोनों पर समय-समाप्ति फ़िल्टरिंग के बजाय रूटिंग की ओर संकेत करती है। यदि सुरक्षित प्रवाह IPsec आउटपुट में कोई सुरक्षा साहचर्य नहीं दिखाते हैं, तो कनेक्शन सफल होने पर भी सुरक्षा की माँग पूरी नहीं होती। चारों आउटपुट साथ पढ़ें, क्योंकि हर एक अकेला अलग कहानी का समर्थन करता है।

परिणामों के साथ प्रभावी प्रोफ़ाइल, नियम समूह और सामने वाले पक्ष की नीति दर्ज करें। पुराने Windows क्लाइंटों के बारे में ऐतिहासिक संगतता टिप्पणियाँ यह नहीं बतातीं कि आज की प्रबंधित प्रोफ़ाइल सुविधाएँ किसी विशेष गेटवे पर क्या समर्थित करती हैं। संस्करण-विशिष्ट व्यवहार अभिलेख में होना चाहिए, अनुमान में नहीं।