Filter lalu lintas VPN atau aturan IPsec: di mana Windows menegakkan port

Satu pengguna VPN Windows harus mencapai HTTPS di sebuah server dan bukan SMB di server yang sama, dan rute tidak dapat menyatakan itu. Kedua permintaan membawa alamat tujuan yang sama, jadi prefiks yang mengirim lalu lintas ke terowongan juga membawa aliran yang ingin Anda kecualikan. Memisahkan keduanya memerlukan aturan yang memeriksa sesuatu yang lebih halus daripada tujuan.

Dua niat berbeda dibangun dengan dua mekanisme Windows yang berbeda. Mencampurnya menghasilkan kebijakan yang tampak lengkap sementara hanya menegakkan separuh dari yang Anda maksud.

Rute tidak dapat memisahkan dua layanan pada satu alamat

Perutean VPN asli berbasis prefiks: ia memutuskan tujuan mana yang melewati terowongan dan mana yang tetap di luar. Itu alat yang tepat untuk menahan satu subnet di dalam dan yang lain di luar, dan secara konstruksi ia buta terhadap port. Filter lalu lintas pada profil VPN menambahkan dimensi kedua: ia mencocokkan protokol, alamat jarak jauh, dan port jarak jauh untuk apa yang boleh melintasi antarmuka itu. Aturan IPsec bekerja di tempat ketiga, menyatakan aliran mana yang memerlukan perlindungan dan dengan siapa mereka melakukan autentikasi. Ketiganya menjawab pertanyaan berbeda dan tidak ada yang menggantikan yang lain.

Mulailah dengan menulis kalimat yang dimaksud. Izinkan hanya HTTPS adalah kalimat akses, sedangkan wajibkan IPsec untuk HTTPS adalah kalimat perlindungan, dan keduanya mengarah ke konfigurasi berbeda.

Pembatasan akses dan persyaratan perlindungan menyimpang

Pembatasan akses menyatakan apa yang boleh menggunakan antarmuka, dan ditegakkan dengan mengizinkan satu himpunan dan menolak semua yang lain. Persyaratan perlindungan menyatakan aliran mana yang harus dienkripsi dan diautentikasi, dan ditegakkan dengan menegosiasikan asosiasi keamanan yang cocok dengannya. Yang pertama menghasilkan permintaan yang diblokir ketika sesuatu tidak ada dalam daftar, sedangkan yang kedua menghasilkan koneksi yang entah membawa perlindungan yang diminta atau gagal terbentuk. Memperlakukan yang satu sebagai yang lain adalah cara kebijakan akhirnya tidak memblokir apa pun atau tidak melindungi apa pun.

Konsekuensi praktisnya adalah daftar filter merupakan himpunan tertutup. Begitu daftar ada pada profil, lalu lintas melalui antarmuka itu yang tidak cocok dengan entri mana pun ditolak, sehingga DNS, pertukaran autentikasi, dan setiap ketergantungan yang dibutuhkan aplikasi memerlukan entri sendiri. Menambahkan satu aturan lebar untuk membungkam penolakan membuka kembali seluruh antarmuka dan diam-diam membatalkan pembatasan. Daftar harus sesingkat yang diizinkan persyaratan dan selengkap yang dituntut aplikasi.

Bangun daftar filter sebagai himpunan lengkap

Profil VPNv2 membawa daftar filter terpisah dari daftar rute, dan entrinya adalah properti profil, bukan perintah. Untuk contoh HTTPS entri memerlukan protokol 6, alamat jarak jauh, dan port jarak jauh, yang disebarkan melalui kanal manajemen atau ProfileXML untuk jenis profil yang dipakai. Definisi filter lalu lintas VPNv2 dari Microsoft menyatakan bahwa kondisi di dalam satu aturan bergabung sementara pengenal aturan terpisah bertindak sebagai alternatif.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Nilai port dalam daftar itu menggambarkan port layanan di ujung jauh, dan port lokal harus tetap tanpa batas agar port sumber sementara klien tidak tersaring. Melakukannya terbalik menghasilkan aturan yang tidak cocok dengan apa pun dan teka-teki yang menghabiskan satu sore.

Tulis rute dan filter sebagai dua keputusan terpisah. Rute memutuskan bahwa server ini dicapai melalui terowongan, dan filter memutuskan layanan mana yang boleh menggunakan jalur itu.

Buktikan kedua hasil dengan dua permintaan

Uji aliran yang diizinkan dan aliran yang ditolak secara terpisah, dan baca kegagalannya alih-alih halaman yang hilang. Penolakan yang datang cepat adalah keputusan kebijakan, sedangkan waktu tunggu lebih mungkin berupa rute yang hilang atau layanan yang tidak mendengarkan. Perintah di bawah menjalankan kedua permintaan dan menunjukkan aturan yang berlaku.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Penolakan cepat pada uji SMB dengan uji HTTPS yang berhasil adalah hasil yang seharusnya dihasilkan filter. Penolakan pada kedua port berarti daftar kehilangan sesuatu yang dibutuhkan sesi, dan waktu tunggu pada keduanya menunjuk ke perutean alih-alih penyaringan. Jika aliran yang dilindungi menunjukkan tidak ada asosiasi keamanan pada keluaran IPsec, persyaratan perlindungan tidak terpenuhi meskipun koneksi berhasil. Baca keempat keluaran bersama, karena masing-masing sendirian mendukung cerita yang berbeda.

Catat profil efektif, himpunan aturan, dan kebijakan pihak lawan bersama hasilnya. Catatan kompatibilitas historis tentang klien Windows lama tidak menggambarkan apa yang didukung fitur profil terkelola saat ini pada gateway tertentu. Perilaku khusus versi termasuk dalam catatan, bukan dalam asumsi.