VPN-forgalomszűrő vagy IPsec-szabály: hol kényszerít portot a Windows

Az útvonal a célt látja, nem a szolgáltatást. Döntse el, a VPN-profil hozzáférési szűrőjére van szüksége, vagy olyan IPsec-szabályra, amely védelmet ír elő a folyamhoz.

Egy Windows VPN-felhasználónak el kell érnie a HTTPS-t egy kiszolgálón, de az SMB-t nem ugyanazon a kiszolgálón, és ezt egy útvonal nem tudja kifejezni. Mindkét kérés ugyanazt a célcímet hordozza, ezért az előtag, amely a forgalmat az alagútba küldi, az általa kizárni kívánt folyamot is szállítja. Szétválasztásukhoz olyan szabály kell, amely a célnál finomabb valamit vizsgál.

Két különböző szándék két különböző Windows-mechanizmussal épül fel. Keverésük olyan szabályzatot ad, amely teljesnek látszik, miközben a szándék felét érvényesíti.

Egy útvonal nem tud két szolgáltatást szétválasztani egy címen

A natív VPN-útválasztás előtagalapú: eldönti, mely célok haladnak át az alagúton, és melyek maradnak kívül. Ez a helyes eszköz egy alhálózat bent és egy másik kint tartására, és felépítésénél fogva vak a portokra. A VPN-profil forgalomszűrője második dimenziót ad hozzá: a protokollt, a távoli címet és a távoli portot párosítja ahhoz, ami áthaladhat ezen a csatolón. Az IPsec-szabály harmadik helyen működik, és kifejezi, mely folyamok igényelnek védelmet, és kivel hitelesítik magukat. A három különböző kérdésre válaszol, és egyik sem helyettesíti a másikat.

Kezdje a kívánt mondat leírásával. Csak a HTTPS engedélyezése hozzáférési mondat, míg a HTTPS-hez IPsec megkövetelése védelmi mondat, és a kettő eltérő beállításhoz vezet.

A hozzáférés-korlátozás és a védelmi követelmény szétválik

A hozzáférés-korlátozás megmondja, mi használhatja a csatolót, és úgy érvényesül, hogy egy halmazt engedélyez, minden mást pedig megtagad. A védelmi követelmény megmondja, mely folyamokat kell titkosítani és hitelesíteni, és úgy érvényesül, hogy a hozzájuk illő biztonsági társításokat tárgyalja meg. Az első blokkolt kérést ad, ha valami nincs a listán, míg a második olyan kapcsolatot ad, amely vagy hordozza az előírt védelmet, vagy nem jön létre. Az egyiket a másikként kezelni az az út, amelyen a szabályzat végül semmit sem blokkol vagy semmit sem véd.

A gyakorlati következmény az, hogy a szűrőlista zárt halmaz. Amint létezik lista a profilon, azon a csatolón a forgalom, amely egyetlen bejegyzésnek sem felel meg, elutasításra kerül, ezért a DNS, a hitelesítési cserék és minden függőség, amelyre az alkalmazásnak szüksége van, saját bejegyzéseket igényel. Egyetlen széles szabály hozzáadása az elutasítások elcsitítására újra megnyitja az egész csatolót, és csendben megszünteti a korlátozást. A listának olyan rövidnek kell lennie, amit a követelmény enged, és olyan teljesnek, amit az alkalmazás megkövetel.

Építse fel a szűrőlistát teljes halmazként

A VPNv2-profilok a szűrőlistát az útvonallistától elkülönítve hordozzák, és bejegyzései profil tulajdonságai, nem parancsok. A HTTPS-példához a bejegyzésnek 6-os protokollra, a távoli címre és a távoli portra van szüksége, amelyeket a felügyeleti csatornán vagy a használt profiltípus ProfileXML-jén keresztül telepítenek. A Microsoft VPNv2-forgalomszűrő meghatározása szerint az egy szabályon belüli feltételek összeadódnak, míg a külön szabályazonosítók alternatívaként működnek.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

A listában szereplő portértékek a távoli vég szolgáltatási portját írják le, és a helyi portnak korlátozatlannak kell maradnia, hogy az ügyfél ideiglenes forrásportja ne szűrődjön ki. Ennek fordítottja olyan szabályt ad, amely semmivel sem egyezik, és egy fejtörőt, amely egy délutánt visz el.

Írja le az útvonalat és a szűrőt két külön döntésként. Az útvonal eldönti, hogy ezt a kiszolgálót az alagúton keresztül érjük el, a szűrő pedig eldönti, mely szolgáltatások használhatják ezt az utat.

Bizonyítsa mindkét eredményt két kéréssel

Tesztelje az engedélyezett folyamot és az elutasított folyamot külön, és a hibát olvassa, ne a hiányzó oldalt. A gyorsan érkező elutasítás szabályzati döntés, míg az időtúllépés inkább hiányzó útvonalra vagy nem figyelő szolgáltatásra utal. Az alábbi parancsok mindkét kérést lefuttatják, és megmutatják az érvényben lévő szabályokat.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Az SMB-teszt gyors elutasítása sikeres HTTPS-teszttel az az eredmény, amelyet a szűrőnek adnia kellett. Mindkét porton elutasítás azt jelenti, hogy a listából hiányzik valami, amire a munkamenetnek szüksége van, és mindkettőn időtúllépés inkább útválasztásra, mint szűrésre utal. Ha a védett folyamok az IPsec-kimenetben nincs biztonsági társítás jeleznek, a védelmi követelmény akkor sem teljesül, ha a kapcsolat létrejön. Olvassa a négy kimenetet együtt, mert mindegyik önmagában más történetet támaszt alá.

Rögzítse az érvényes profilt, a szabálykészletet és a partner szabályzatát az eredmények mellett. A régebbi Windows-ügyfelekről szóló történeti kompatibilitási feljegyzések nem írják le, mit támogatnak a mai felügyelt profilfunkciók egy adott átjárón. A verziófüggő viselkedés a feljegyzésbe tartozik, nem a feltételezésbe.

Kapcsolódó cikkek