VPN filtar prometa ili IPsec pravilo: gdje Windows primjenjuje port

Ruta vidi odredište, a ne uslugu. Odlučite trebate li filtar pristupa na VPN profilu ili IPsec pravilo koje zahtijeva zaštitu za tok.

Jedan korisnik Windows VPN-a treba dosegnuti HTTPS na poslužitelju, a ne SMB na istom poslužitelju, i ruta to ne može izraziti. Oba zahtjeva nose istu odredišnu adresu, pa prefiks koji šalje promet u tunel nosi i tok koji ste htjeli isključiti. Njihovo razdvajanje zahtijeva pravilo koje pregledava nešto finije od odredišta.

Dvije različite namjere grade se dvama različitim Windows mehanizmima. Ako ih pomiješate, dobit ćete politiku koja djeluje cjelovito, a provodi tek polovicu onoga što ste željeli.

Ruta ne može razdvojiti dvije usluge na istoj adresi

Izvorno VPN usmjeravanje temelji se na prefiksima: odlučuje koja odredišta putuju kroz tunel, a koja ostaju izvana. To je pravi alat za držanje jedne podmreže unutra, a druge izvana, i po konstrukciji je slijepo za portove. Filtar prometa na VPN profilu dodaje drugu dimenziju: usklađuje protokol, udaljenu adresu i udaljeni port za ono što smije prijeći to sučelje. IPsec pravilo radi na trećem mjestu i izražava koji tokovi zahtijevaju zaštitu i s kim se autentificiraju. Tri odgovaraju na različita pitanja i nijedno ne zamjenjuje ostala.

Počnite tako da napišete željenu rečenicu. Dopusti samo HTTPS rečenica je o pristupu, dok je zahtijevaj IPsec za HTTPS rečenica o zaštiti, i dvije vode različitoj konfiguraciji.

Ograničenje pristupa i zahtjev za zaštitom razilaze se

Ograničenje pristupa kaže što smije koristiti sučelje i provodi se dopuštanjem skupa i odbijanjem svega ostalog. Zahtjev za zaštitom kaže koji tokovi moraju biti šifrirani i autentificirani i provodi se dogovaranjem sigurnosnih asocijacija koje im odgovaraju. Prvo daje blokiran zahtjev kada nečega nema na popisu, a drugo daje vezu koja ili nosi traženu zaštitu ili se ne uspostavlja. Tretirati jedno kao drugo način je da politika ne blokira ništa ili ne štiti ništa.

Praktična posljedica je da je popis filtara zatvoren skup. Kad popis postoji na profilu, promet preko tog sučelja koji ne odgovara nijednom unosu se odbija, pa DNS, razmjene autentifikacije i svaka ovisnost koja aplikaciji treba zahtijevaju vlastite unose. Dodavanje jednog širokog pravila da utiša odbijanja ponovno otvara cijelo sučelje i tiho poništava ograničenje. Popis treba biti kratak koliko zahtjev dopušta i potpun koliko aplikacija traži.

Izgradite popis filtara kao potpun skup

VPNv2 profili nose popis filtara odvojeno od popisa ruta, a njegovi unosi su svojstva profila, a ne naredbe. Za HTTPS primjer unosu trebaju protokol 6, udaljena adresa i udaljeni port, raspoređeni kroz kanal upravljanja ili ProfileXML za korištenu vrstu profila. Microsoftova definicija VPNv2 filtra prometa navodi da se uvjeti unutar jednog pravila kombiniraju, dok zasebni identifikatori pravila djeluju kao alternative.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Vrijednosti portova na tom popisu opisuju port usluge na udaljenoj strani, a lokalni port treba ostati neograničen kako se prolazni izvorni port klijenta ne bi filtrirao. Obrnuti redoslijed daje pravilo koje se ni s čim ne poklapa i zagonetku za cijelo poslijepodne.

Napišite rutu i filtar kao dvije odvojene odluke. Ruta odlučuje da se do tog poslužitelja dolazi kroz tunel, a filtar odlučuje koje usluge smiju koristiti taj put.

Dokažite oba ishoda s dva zahtjeva

Testirajte dopušteni tok i odbijeni tok odvojeno i čitajte neuspjeh, a ne stranicu koja nedostaje. Brzo odbijanje je odluka politike, dok je istek vremena vjerojatnije ruta koja nedostaje ili usluga koja ne sluša. Naredbe ispod pokreću oba zahtjeva i prikazuju pravila na snazi.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Brzo odbijanje na SMB testu uz uspješan HTTPS test ishod je koji je filtar trebao proizvesti. Odbijanje na oba porta znači da popisu nedostaje nešto što sesija treba, a istek vremena na oba upućuje na usmjeravanje, a ne na filtriranje. Ako zaštićeni tokovi pokazuju nema sigurnosne asocijacije u IPsec izlazu, zahtjev za zaštitom nije ispunjen čak i kad veza uspije. Čitajte sva četiri izlaza zajedno, jer svaki sam podupire drugu priču.

Zabilježite efektivni profil, skup pravila i politiku druge strane uz rezultate. Povijesne napomene o kompatibilnosti sa starijim Windows klijentima ne opisuju što današnje značajke upravljanog profila podržavaju na određenom pristupniku. Ponašanje specifično za verziju pripada u zapis, a ne u pretpostavku.

Povezani članci