VPN-umferðarsía eða IPsec-regla: þar sem Windows framfylgir porti

Leið sér áfangastað, ekki þjónustu. Ákveddu hvort þú þarft aðgangssíu á VPN-sniðinu eða IPsec-reglu sem krefst verndar fyrir flæðið.

Einn Windows VPN-notandi á að ná HTTPS á þjóni og ekki SMB á sömu þjónu, og leið getur ekki lýst því. Báðar beiðnir bera sama áfangastaðarheitið, svo forskeytið sem sendir umferð í göngin ber líka flæðið sem þú vildir útiloka. Að aðskilja þau krefst reglu sem skoðar eitthvað fínna en áfangastaðinn.

Tvær ólíkar áform eru byggð með tveimur ólíkum Windows-aðferðum. Að blanda þeim gefur stefnu sem lítur út fyrir að vera heildstæð en framfylgir aðeins helmingi þess sem þú ætlaðir.

Leið getur ekki aðskilið tvær þjónustur á einu heiti

Upprunaleg VPN-leiðsögn byggist á forskeytum: hún ákveður hvaða áfangastaðir fara í gegnum göngin og hverjir vera utan. Það er rétta tólið til að halda einu undirneti inni og öðru úti, og hún er blint á port að byggingu. Umferðarsía á VPN-sniðinu bætir annarri vídd við: hún passar saman við prótókol, fjarlægt heiti og fjarlægt port fyrir það sem má fara yfir það viðmót. IPsec-regla vinnur á þriðjum stað og lýsir því hvaða flæði krefjast verndar og við hvern þau sannvotta sig. Þrjú svara ólíkum spurningum og ekkert kemur í stað annarra.

Byrjaðu á að skrifa setninguna sem þú ætlar. Leyfa aðeins HTTPS er aðgangssetning, á meðan krefjast IPsec fyrir HTTPS er verndarsetning, og tvær leiða til ólíkrar uppsetningar.

Aðgangstakmörkun og verndarkrafa fara sitt hvoru leið

Aðgangstakmörkun segir hvað má nota viðmótið, og henni er framfylgt með því að leyfa mengi og hafna öllu öðru. Verndarkrafa segir hvaða flæði verða að vera dulrituð og sannvottuð, og henni er framfylgt með því að semja um öryggistengsl sem passa við þau. Fyrri gefur lokaða beiðni þegar eitthvað er ekki á listanum, á meðan seinni gefur tengingu sem annaðhvort ber nauðsynlega vernd eða kemst ekki upp. Að meðhöndla annað sem hina er leiðin sem stefna endar með að loka ekki neinu eða vernda ekki neitt.

Hagnýt afleiðing er að síulisti er lokað mengi. Þegar listi er á sniðinu er umferð um það viðmót sem passar við enga færslu hafnað, svo DNS, sannvottunarskipti og hver sú háð sem forritið þarf krefjast eigin færslna. Að bæta einni breiðri reglu við til að þagga niður höfnurnar opnar allt viðmótið aftur og fellir takmörkunina í hljóði. Listinn ætti að vera eins stuttur og krafan leyfir og eins heildstæður og forritið krefst.

Byggðu síulistann sem heildstætt mengi

VPNv2-snið bera síulistann aðskildan frá leiðarlistanum, og færslur hans eru eiginleikar sniðsins en ekki skipanir. Fyrir HTTPS-dæmið þarf færslan prótókol 6, fjarlæga heitið og fjarlæga portið, sem eru sett út um stjórnrásina eða ProfileXML fyrir þá tegund sniðs sem notuð er. Skilgreining Microsoft á VPNv2-umferðarsíu segir að skilyrði innan einnar reglu sameinist á meðan aðskildir regluauðkennar virki sem valkostir.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Portgildi á þeim lista lýsa þjónustuportinu á fjarlæga endanum, og heimaportið ætti að vera ótakmarkað svo skammtíma upprunaport biðlarans síist ekki út. Að gera það öfugt gefur reglu sem passar við ekkert og þraut sem tekur heilan eftirmiðdag.

Skrifaðu leiðina og síuna sem tvær aðskildar ákvarðanir. Leiðin ákveður að þessi þjóna sé nálguð í gegnum göngin, og sían ákveður hvaða þjónustur mega nota þá leið.

Sannaðu bæði útkomurnar með tveimur beiðnum

Prófaðu leyfða flæðið og hafnaða flæðið aðskilið, og lestu bilunina frekar en síðuna sem vantar. Höfnun sem kemur fljótt er stefnuákvörðun, á meðan tímamörk eru líklegri til að vera leið sem vantar eða þjónusta sem hlustar ekki. Skipanirnar hér að neðan keyra báðar beiðnirnar og sýna reglurnar sem gilda.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Fljót höfnun í SMB-prófinu með árangursríku HTTPS-prófi er útkoman sem sían átti að gefa. Höfnun á báðum portum þýðir að listann vantar eitthvað sem lotan þarf, og tímamörk á báðum benda til leiðsagnar frekar en síunar. Ef vernduðu flæðin sýna engin öryggistengsl í IPsec-úttakinu er verndarkröfunni ekki fullnægt jafnvel þótt tengingin takist. Lestu öll fjögur úttökin saman, því hvert og eitt ein og sér styður aðra sögu.

Skráðu virka sniðið, reglusafnið og stefnu gagnaðilans ásamt niðurstöðunum. Sögulegar samhæfnisfærslur um eldri Windows-biðlara lýsa ekki því sem núverandi eiginleikar stýrðs sniðs styðja á tilteknu hliði. Hegðun sem er háð útgáfu á heima í skránni, ekki í forsendunni.

Tengdir greinar