VPN трафик сүзгісі немесе IPsec ережесі: Windows портты қайда қолданады

Маршрут межелі орынды көреді, қызметті емес. VPN профиліндегі кіру сүзгісі керек пе, әлде ағынға қорғаныс талап ететін IPsec ережесі керек пе, соны шешіңіз.

Windows VPN пайдаланушысы бір сервердегі HTTPS-ке жетуі, сол сервердегі SMB-ге жетпеуі керек, ал маршрут мұны білдіре алмайды. Екі сұраныс та бірдей межелі мекенжайды тасымалдайды, сондықтан трафикті туннельге жіберетін префикс сіз алып тастағыңыз келген ағынды да тасымалдайды. Оларды бөлу үшін межелі орыннан да нәзік нәрсені тексеретін ереже қажет.

Екі түрлі ниет екі түрлі Windows механизмімен құрылады. Оларды араластыру толық көрінетін, бірақ ниетіңіздің жартысын ғана қолданатын саясат тудырады.

Маршрут бір мекенжайдагы екі қызметті бөле алмайды

VPN-нің табиғи маршруттауы префикстерге негізделген: қай межелі орындар туннельден өтетінін, қайсысы сыртта қалатынын шешеді. Бір ішкі желіні іште, екіншісін сыртта ұстауға бұл дұрыс құрал, және құрылымы бойынша порттарға соқыр. VPN профиліндегі трафик сүзгісі екінші өлшемді қосады: протоколды, қашықтағы мекенжайды және қашықтағы портты осы интерфейстен өте алатын нәрсеге сәйкестендіреді. IPsec ережесі үшінші жерде жұмыс істейді және қай ағындар қорғаныс талап ететінін және кіммен аутентификацияланатынын білдіреді. Үшеуі әртүрлі сұрақтарға жауап береді және ешқайсысы басқаларын алмастырмайды.

Көздеген сөйлемді жазудан бастаңыз. Тек HTTPS-ке рұқсат бер – кіру сөйлемі, ал HTTPS үшін IPsec талап ет – қорғаныс сөйлемі, және екеуі әртүрлі конфигурацияға әкеледі.

Кіру шектеуі мен қорғаныс талабы алшақтайды

Кіру шектеуі интерфейстің нені пайдалана алатынын айтады және бір жиынды рұқсат етіп, қалғанының бәрін қабылдамау арқылы қолданылады. Қорғаныс талабы қай ағындардың шифрлануы және аутентификациялануы керектігін айтады және оларға сәйкес келетін қауіпсіздік ассоциациялары туралы келіссөз жүргізу арқылы қолданылады. Біріншісі бірдеңе тізімде болмаса, бұғатталған сұраныс тудырады, ал екіншісі талап етілген қорғанысты алып жүретін немесе мүлде орнатылмайтын байланыс тудырады. Біреуін екіншісі ретінде қарау – саясаттың ақырында ештеңені бұғаттамауы немесе ештеңені қорғамауының жолы.

Практикалық салдар – сүзгі тізімі жабық жиын. Профильде тізім пайда болған соң, сол интерфейстегі ешбір жазбаға сәйкес келмейтін трафик қабылданбайды, сондықтан DNS, аутентификация алмасулары және қолданбаға қажет кез келген тәуелділік өз жазбаларын талап етеді. Бас тартуларды тыныштандыру үшін бір кең ереже қосу бүкіл интерфейсті қайта ашады және шектеуді тыныш түрде жояды. Тізім талап рұқсат еткендей қысқа және қолданба талап еткендей толық болуы керек.

Сүзгі тізімін толық жиын ретінде құрыңыз

VPNv2 профильдері сүзгі тізімін маршрут тізімінен бөлек алып жүреді, ал оның жазбалары бұйрықтар емес, профиль қасиеттері. HTTPS мысалы үшін жазбаға 6 протоколы, қашықтағы мекенжай және қашықтағы порт қажет, олар пайдаланылатын профиль түрі үшін басқару арнасы немесе ProfileXML арқылы орналастырылады. Microsoft-тың VPNv2 трафик сүзгісінің анықтамасы бір ереженің ішіндегі шарттар бірігетінін, ал жеке ереже идентификаторлары балама ретінде әрекет ететінін айтады.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Ол тізімдегі порт мәндері қашықтағы ұштағы қызмет портын сипаттайды, ал жергілікті порт шектеусіз қалуы керек, сонда клиенттің уақытша бастау порты сүзіліп қалмайды. Керісінше жасау ештеңеге сәйкес келмейтін ереже мен жарты күн алатын жұмбақ тудырады.

Маршрут пен сүзгіні екі бөлек шешім ретінде жазыңыз. Маршрут бұл серверге туннель арқылы жететінін шешеді, ал сүзгі қай қызметтердің сол жолды пайдалана алатынын шешеді.

Екі сұраныспен екі нәтижені де дәлелдеңіз

Рұқсат етілген ағынды және қабылданбаған ағынды бөлек сынап, жоқ бетті емес, сәтсіздікті оқыңыз. Тез келетін бас тарту – саясат шешімі, ал уақыттың бітуі жоқ маршрут немесе тыңдамайтын қызмет болуы ықтимал. Төмендегі бұйрықтар екі сұранысты да орындап, күшіндегі ережелерді көрсетеді.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB сынағында жылдам бас тарту мен HTTPS сынағындағы сәттілік – сүзгі шығаруы тиіс нәтиже. Екі портта да бас тарту тізімде сессияға қажет бірдеңе жетіспейтінін білдіреді, ал екеуінде де уақыттың бітуі сүзгілеуге емес, маршруттауға меңзейді. Егер қорғалған ағындар IPsec шығысында қауіпсіздік ассоциациясының жоқтығын көрсетсе, байланыс сәтті болса да қорғаныс талабы орындалмайды. Төрт шығысты бірге оқыңыз, өйткені әрқайсысы жеке өзге әңгімені қолдайды.

Қолданыстағы профильді, ережелер жиынын және қарсы тараптың саясатын нәтижелермен бірге жазып алыңыз. Ескі Windows клиенттері туралы тарихи үйлесімділік жазбалары бүгінгі басқарылатын профиль мүмкіндіктерінің нақты шлюзде нені қолдайтынын сипаттамайды. Нұсқаға тәуелді мінез-құлық жазбаға тиесілі, болжамға емес.

Қатысты мақалалар