VPN ტრაფიკის ფილტრი თუ IPsec წესი: სად ახორციელებს Windows პორტს

Windows VPN-ის ერთმა მომხმარებელმა უნდა მიაღწიოს სერვერზე HTTPS-ს და არა იმავე სერვერზე SMB-ს, და მარშრუტი ამას ვერ გამოხატავს. ორივე მოთხოვნა ერთსა და იმავე დანიშნულების მისამართს ატარებს, ამიტომ პრეფიქსი, რომელიც ტრაფიკს გვირაბში აგზავნის, ასევე ატარებს იმ ნაკადს, რომლის გამორიცხვაც გსურდათ. მათ გასაყოფად საჭიროა წესი, რომელიც დანიშნულებაზე უფრო დახვეწილ რამეს ამოწმებს.

ორი განსხვავებული განზრახვა ორი განსხვავებული Windows მექანიზმით იგება. მათი შერევა ქმნის პოლიტიკას, რომელიც სრული ჩანს, მაგრამ თქვენი განზრახვის ნახევარს ახორციელებს.

მარშრუტს არ შეუძლია ერთ მისამართზე ორი სერვისის გაყოფა

VPN-ის ბუნებრივი მარშრუტიზაცია პრეფიქსებზე დგას: ის წყვეტს, რომელი დანიშნულებები გაივლის გვირაბს და რომელი დარჩება გარეთ. ეს სწორი იარაღია ერთი ქვექსელის შიგნით და მეორის გარეთ შესანარჩუნებლად, და ის აგებულებით ბრმაა პორტების მიმართ. VPN პროფილზე ტრაფიკის ფილტრი მეორე განზომილებას ამატებს: ის ადარებს პროტოკოლს, დისტანციურ მისამართს და დისტანციურ პორტს იმას, რაც შეიძლება გადაკვეთოს ამ ინტერფეისმა. IPsec წესი მესამე ადგილზე მუშაობს და გამოხატავს, რომელი ნაკადები მოითხოვენ დაცვას და ვისთან ახდენენ ავთენტიფიკაციას. სამივე სხვადასხვა კითხვას პასუხობს და არცერთი არ ცვლის სხვებს.

დაიწყეთ სასურველი წინადადების დაწერით. დაუშვი მხოლოდ HTTPS წვდომის წინადადებაა, ხოლო HTTPS-ისთვის IPsec მოითხოვე დაცვის წინადადებაა, და ორივე განსხვავებულ კონფიგურაციამდე მივყავართ.

წვდომის შეზღუდვა და დაცვის მოთხოვნა იშლება

წვდომის შეზღუდვა ამბობს, რას შეუძლია ინტერფეისის გამოყენება, და ხორციელდება ერთი სიმრავლის დაშვებით და დანარჩენის უარყოფით. დაცვის მოთხოვნა ამბობს, რომელი ნაკადები უნდა დაშიფრდეს და ავთენტიფიცირდეს, და ხორციელდება მათთან შესაბამისი უსაფრთხოების ასოციაციების მოლაპარაკებით. პირველი ბლოკირებულ მოთხოვნას ქმნის, როცა რაღაც სიაში არ არის, ხოლო მეორე ქმნის კავშირს, რომელიც ან მოითხოვილ დაცვას ატარებს, ან საერთოდ არ მყარდება. ერთის მეორედ მიჩნევა არის ის გზა, რომლითაც პოლიტიკა ბოლოს არაფერს ბლოკავს ან არაფერს იცავს.

პრაქტიკული შედეგი ის არის, რომ ფილტრების სია დახურული სიმრავლეა. როგორც კი პროფილზე სია არსებობს, ამ ინტერფეისზე ის ტრაფიკი, რომელიც არცერთ ჩანაწერს არ ემთხვევა, უარყოფილია, ამიტომ DNS-ს, ავთენტიფიკაციის გაცვლებს და ნებისმიერ დამოკიდებულებას, რომელიც აპლიკაციას სჭირდება, საკუთარი ჩანაწერები სჭირდება. ერთი ფართო წესის დამატება უარყოფების ჩასახშობად ხელახლა ხსნის მთელ ინტერფეისს და ჩუმად აუქმებს შეზღუდვას. სია უნდა იყოს იმდენად მოკლე, რამდენსაც მოთხოვნა იძლევა, და იმდენად სრული, რამდენსაც აპლიკაცია მოითხოვს.

ააგეთ ფილტრების სია როგორც სრული სიმრავლე

VPNv2 პროფილები ფილტრების სიას მარშრუტების სიისგან ცალკე ატარებენ, და მისი ჩანაწერები პროფილის თვისებებია და არა ბრძანებები. HTTPS-ის მაგალითისთვის ჩანაწერს სჭირდება პროტოკოლი 6, დისტანციური მისამართი და დისტანციური პორტი, რომლებიც განლაგდება მართვის არხით ან ProfileXML-ით გამოყენებული პროფილის ტიპისთვის. Microsoft-ის VPNv2 ტრაფიკის ფილტრის განმარტება აცხადებს, რომ ერთი წესის შიგნით პირობები ერთიანდება, ხოლო ცალკეული წესის იდენტიფიკატორები ალტერნატივებად მოქმედებენ.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

ამ სიაში პორტების მნიშვნელობები აღწერს მომსახურების პორტს შორეულ ბოლოში, და ლოკალური პორტი უნდა დარჩეს შეუზღუდავი, რომ კლიენტის დროებითი წყაროს პორტი არ გაიფილტროს. საპირისპიროდ კეთება ქმნის წესს, რომელიც არაფერს ემთხვევა, და თავსატეხს, რომელიც ნახევარ დღეს წაიღებს.

დაწერეთ მარშრუტი და ფილტრი როგორც ორი ცალკე გადაწყვეტილება. მარშრუტი წყვეტს, რომ ამ სერვერს გვირაბით აღწევენ, ხოლო ფილტრი წყვეტს, რომელი სერვისები შეიძლება ამ გზის გამოყენება.

დაამტკიცეთ ორივე შედეგი ორი მოთხოვნით

გამოსცადეთ დაშვებული ნაკადი და უარყოფილი ნაკადი ცალ-ცალკე, და წაიკითხეთ მარცხი და არა დაკარგული გვერდი. სწრაფად მოსული უარყოფა პოლიტიკის გადაწყვეტილებაა, ხოლო დროის ამოწურვა უფრო სავარაუდოდ დაკარგული მარშრუტია ან სერვისი, რომელიც არ უსმენს. ქვემოთ მოცემული ბრძანებები ორივე მოთხოვნას ასრულებს და მოქმედ წესებს აჩვენებს.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

სწრაფი უარყოფა SMB ტესტში HTTPS ტესტის წარმატებასთან ერთად არის ის შედეგი, რომელიც ფილტრს უნდა მოეცა. უარყოფა ორივე პორტზე ნიშნავს, რომ სიაში აკლია რაღაც, რაც სესიას სჭირდება, ხოლო დროის ამოწურვა ორივეზე მიუთითებს მარშრუტიზაციაზე და არა ფილტრაციაზე. თუ დაცული ნაკადები IPsec-ის გამოსავალში უსაფრთხოების ასოციაციის არარსებობას აჩვენებს, დაცვის მოთხოვნა არ სრულდება მაშინაც, როცა კავშირი წარმატებულია. წაიკითხეთ ოთხივე გამოსავალი ერთად, რადგან თითოეული ცალკე სხვა ისტორიას უჭერს მხარს.

ჩაწერეთ მოქმედი პროფილი, წესების ნაკრები და მეორე მხარის პოლიტიკა შედეგებთან ერთად. ძველი Windows კლიენტების შესახებ ისტორიული თავსებადობის შენიშვნები არ აღწერენ, რას უჭერს მხარს დღევანდელი მართული პროფილის შესაძლებლობები კონკრეტულ კარიბჭეზე. ვერსიაზე დამოკიდებული ქცევა ჩანაწერში უნდა იყოს და არა ვარაუდში.