VPN երթևեկության զտիչ, թե IPsec կանոն՝ որտեղ է Windows-ը կիրառում պորտը

Windows-ի VPN-ի մեկ օգտատեր պետք է հասնի սերվերի HTTPS-ին և ոչ նույն սերվերի SMB-ին, և երթուղին չի կարող դա արտահայտել։ Երկու հարցումներն էլ կրում են նույն նշանակետի հասցեն, ուստի նախածանցը, որը երթևեկությունը ուղարկում է թունել, կրում է նաև այն հոսքը, որը ցանկանում էիք բացառել։ Դրանք առանձնացնելու համար անհրաժեշտ է կանոն, որն ուսումնասիրում է նշանակետից ավելի նուրբ ինչ-որ բան։

Երկու տարբեր մտադրություններ կառուցվում են Windows-ի երկու տարբեր մեխանիզմներով։ Դրանք խառնելը ստեղծում է քաղաքականություն, որը լրիվ է թվում, բայց կիրառում է ձեր նպատակի կեսը։

Երթուղին չի կարող առանձնացնել երկու ծառայություն մեկ հասցեում

VPN-ի բնական երթուղավորումը հիմնված է նախածանցերի վրա՝ այն որոշում է, թե որ նշանակետերն են անցնում թունելով, և որոնք մնում են դրսում։ Սա ճիշտ գործիք է մեկ ենթացանցը ներսում, մյուսը դրսում պահելու համար, և այն կառուցվածքով կույր է պորտերի նկատմամբ։ VPN պրոֆիլի երթևեկության զտիչը ավելացնում է երկրորդ չափում՝ այն համապատասխանեցնում է արձանագրությունը, հեռավոր հասցեն և հեռավոր պորտը այն բանի հետ, ինչը կարող է հատել այդ ինտերֆեյսը։ IPsec կանոնը գործում է երրորդ տեղում և արտահայտում է, թե որ հոսքերն են պահանջում պաշտպանություն և ում հետ են նույնականացվում։ Երեքը պատասխանում են տարբեր հարցերի, և ոչ մեկը չի փոխարինում մյուսներին։

Սկսեք գրելով նախատեսված նախադասությունը։ Թույլատրել միայն HTTPS-ը մուտքի նախադասություն է, մինչդեռ պահանջել IPsec HTTPS-ի համար պաշտպանության նախադասություն է, և երկուսը տանում են տարբեր կարգավորման։

Մուտքի սահմանափակումը և պաշտպանության պահանջը տարանջատվում են

Մուտքի սահմանափակումը ասում է, թե ինչը կարող է օգտագործել ինտերֆեյսը, և կիրառվում է՝ թույլատրելով մի բազմություն և մերժելով մնացած ամեն ինչ։ Պաշտպանության պահանջը ասում է, թե որ հոսքերը պետք է գաղտնագրվեն և նույնականացվեն, և կիրառվում է՝ բանակցելով դրանց համապատասխան անվտանգության ասոցիացիաներ։ Առաջինը ստեղծում է արգելափակված հարցում, երբ ինչ-որ բան ցանկում չէ, մինչդեռ երկրորդը ստեղծում է կապ, որը կա՛մ կրում է պահանջվող պաշտպանությունը, կա՛մ չի հաստատվում։ Մեկը մյուսի տեղ ընդունելը հենց այն ճանապարհն է, որով քաղաքականությունը վերջում ոչինչ չի արգելափակում կամ ոչինչ չի պաշտպանում։

Գործնական հետևանքն այն է, որ զտիչների ցանկը փակ բազմություն է։ Հենց պրոֆիլում ցանկ կա, այդ ինտերֆեյսով երթևեկությունը, որը չի համապատասխանում ոչ մի գրառման, մերժվում է, ուստի DNS-ը, նույնականացման փոխանակումները և ցանկացած կախվածություն, որն անհրաժեշտ է հավելվածին, պահանջում են իրենց գրառումները։ Մեկ լայն կանոն ավելացնելը՝ մերժումները լռեցնելու համար, նորից բացում է ամբողջ ինտերֆեյսը և հանգիստ չեղարկում սահմանափակումը։ Ցանկը պետք է լինի այնքան կարճ, որքան թույլ է տալիս պահանջը, և այնքան ամբողջական, որքան պահանջում է հավելվածը։

Կառուցեք զտիչների ցանկը որպես ամբողջական բազմություն

VPNv2 պրոֆիլները զտիչների ցանկը կրում են երթուղիների ցանկից առանձին, և դրա գրառումները պրոֆիլի հատկություններ են, ոչ թե հրամաններ։ HTTPS-ի օրինակի համար գրառմանը պետք է 6 արձանագրություն, հեռավոր հասցեն և հեռավոր պորտը, որոնք տեղակայվում են կառավարման ուղիով կամ ProfileXML-ով՝ օգտագործվող պրոֆիլի տեսակի համար։ Microsoft-ի VPNv2 երթևեկության զտիչի սահմանումը նշում է, որ մեկ կանոնի ներսում պայմանները միավորվում են, մինչդեռ առանձին կանոնի նույնացուցիչները գործում են որպես այլընտրանքներ։

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Այդ ցանկի պորտերի արժեքները նկարագրում են ծառայության պորտը հեռավոր ծայրում, և տեղական պորտը պետք է մնա անսահմանափակ, որպեսզի հաճախորդի ժամանակավոր աղբյուրի պորտը չզտվի։ Հակառակ անելը ստեղծում է կանոն, որը ոչ մի բանի չի համապատասխանում, և հանելուկ, որը խլում է մի ամբողջ կեսօր։

Գրեք երթուղին և զտիչը որպես երկու առանձին որոշում։ Երթուղին որոշում է, որ այս սերվերին հասնում են թունելով, իսկ զտիչը որոշում է, թե որ ծառայությունները կարող են օգտագործել այդ ուղին։

Ապացուցեք երկու արդյունքը երկու հարցումով

Փորձարկեք թույլատրված հոսքը և մերժված հոսքը առանձին, և կարդացեք ձախողումը, ոչ թե բացակայող էջը։ Արագ եկող մերժումը քաղաքականության որոշում է, մինչդեռ ժամանակի սպառումը ավելի հավանական է բացակայող երթուղի կամ չլսող ծառայություն։ Ստորև հրամանները կատարում են երկու հարցումները և ցույց տալիս գործող կանոնները։

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB թեստի արագ մերժումը՝ HTTPS թեստի հաջողության հետ, այն արդյունքն է, որը զտիչը պետք է տար։ Երկու պորտերում էլ մերժումը նշանակում է, որ ցանկում բացակայում է ինչ-որ բան, ինչ անհրաժեշտ է սեսիային, իսկ երկուսում ժամանակի սպառումը մատնանշում է երթուղավորումը, ոչ թե զտումը։ Եթե պաշտպանված հոսքերը IPsec ելքում ցույց են տալիս անվտանգության ասոցիացիայի բացակայություն, ապա պաշտպանության պահանջը չի կատարվում նույնիսկ երբ կապը հաջողվում է։ Կարդացեք բոլոր չորս ելքերը միասին, քանի որ յուրաքանչյուրը մենակ աջակցում է տարբեր պատմության։

Գրանցեք գործող պրոֆիլը, կանոնների հավաքածուն և հակառակ կողմի քաղաքականությունը արդյունքների կողքին։ Հին Windows հաճախորդների մասին պատմական համատեղելիության նշումները չեն նկարագրում, թե ինչ են այսօրվա կառավարվող պրոֆիլի հնարավորությունները աջակցում կոնկրետ դարպասում։ Տարբերակից կախված վարքը պատկանում է գրառմանը, ոչ թե ենթադրությանը։