VPN ಟ್ರಾಫಿಕ್ ಫಿಲ್ಟರ್ ಅಥವಾ IPsec ನಿಯಮ: Windows ಎಲ್ಲಿ ಪೋರ್ಟ್ ಜಾರಿಗೊಳಿಸುತ್ತದೆ

ಒಬ್ಬ Windows VPN ಬಳಕೆದಾರರು ಸರ್ವರ್‌ನಲ್ಲಿ HTTPS ತಲುಪಬೇಕು ಮತ್ತು ಅದೇ ಸರ್ವರ್‌ನಲ್ಲಿ SMB ತಲುಪಬಾರದು, ಮತ್ತು ರೂಟ್ ಅದನ್ನು ವ್ಯಕ್ತಪಡಿಸಲಾರದು. ಎರಡೂ ವಿನಂತಿಗಳು ಒಂದೇ ಗಮ್ಯಸ್ಥಾನ ವಿಳಾಸವನ್ನು ಹೊತ್ತಿರುತ್ತವೆ, ಆದ್ದರಿಂದ ಟ್ರಾಫಿಕ್ ಅನ್ನು ಸುರಂಗಕ್ಕೆ ಕಳುಹಿಸುವ ಪ್ರಿಫಿಕ್ಸ್ ನೀವು ಹೊರಗಿಡಲು ಬಯಸಿದ ಹರಿವನ್ನೂ ಹೊತ್ತಿರುತ್ತದೆ. ಅವನ್ನು ಬೇರ್ಪಡಿಸಲು ಗಮ್ಯಸ್ಥಾನಕ್ಕಿಂತ ಸೂಕ್ಷ್ಮವಾದದ್ದನ್ನು ಪರಿಶೀಲಿಸುವ ನಿಯಮ ಬೇಕು.

ಎರಡು ವಿಭಿನ್ನ ಉದ್ದೇಶಗಳು ಎರಡು ವಿಭಿನ್ನ Windows ಕಾರ್ಯವಿಧಾನಗಳಿಂದ ನಿರ್ಮಾಣವಾಗುತ್ತವೆ. ಅವನ್ನು ಮಿಶ್ರಣ ಮಾಡಿದರೆ ಪೂರ್ಣವಾಗಿ ಕಾಣುವ ಆದರೆ ನೀವು ಉದ್ದೇಶಿಸಿದ್ದರ ಅರ್ಧವನ್ನು ಮಾತ್ರ ಜಾರಿಗೊಳಿಸುವ ನೀತಿ ಉಂಟಾಗುತ್ತದೆ.

ಒಂದು ರೂಟ್ ಒಂದೇ ವಿಳಾಸದಲ್ಲಿ ಎರಡು ಸೇವೆಗಳನ್ನು ಬೇರ್ಪಡಿಸಲಾರದು

ಸ್ಥಳೀಯ VPN ರೂಟಿಂಗ್ ಪ್ರಿಫಿಕ್ಸ್ ಆಧಾರಿತವಾಗಿದೆ: ಯಾವ ಗಮ್ಯಸ್ಥಾನಗಳು ಸುರಂಗದ ಮೂಲಕ ಹೋಗುತ್ತವೆ ಮತ್ತು ಯಾವುವು ಹೊರಗೆ ಉಳಿಯುತ್ತವೆ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಒಂದು ಸಬ್‌ನೆಟ್ ಒಳಗೆ ಮತ್ತು ಇನ್ನೊಂದು ಹೊರಗೆ ಇಡಲು ಇದು ಸರಿಯಾದ ಸಾಧನ, ಮತ್ತು ರಚನೆಯಿಂದಲೇ ಇದು ಪೋರ್ಟ್‌ಗಳಿಗೆ ಕುರುಡು. VPN ಪ್ರೊಫೈಲ್‌ನಲ್ಲಿನ ಟ್ರಾಫಿಕ್ ಫಿಲ್ಟರ್ ಎರಡನೇ ಆಯಾಮವನ್ನು ಸೇರಿಸುತ್ತದೆ: ಪ್ರೋಟೋಕಾಲ್, ದೂರದ ವಿಳಾಸ ಮತ್ತು ದೂರದ ಪೋರ್ಟ್ ಅನ್ನು ಆ ಇಂಟರ್‌ಫೇಸ್ ದಾಟಬಹುದಾದದ್ದಕ್ಕೆ ಹೊಂದಿಸುತ್ತದೆ. IPsec ನಿಯಮ ಮೂರನೇ ಸ್ಥಳದಲ್ಲಿ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ಯಾವ ಹರಿವುಗಳಿಗೆ ರಕ್ಷಣೆ ಬೇಕು ಮತ್ತು ಯಾರೊಂದಿಗೆ ದೃಢೀಕರಣ ಮಾಡುತ್ತವೆ ಎಂದು ವ್ಯಕ್ತಪಡಿಸುತ್ತದೆ. ಮೂರೂ ವಿಭಿನ್ನ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತವೆ ಮತ್ತು ಯಾವುದೂ ಇನ್ನೊಂದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ.

ಉದ್ದೇಶಿಸಿದ ವಾಕ್ಯವನ್ನು ಬರೆಯುವುದರಿಂದ ಪ್ರಾರಂಭಿಸಿ. HTTPS ಗೆ ಮಾತ್ರ ಅನುಮತಿ ನೀಡು ಎಂಬುದು ಪ್ರವೇಶ ವಾಕ್ಯ, ಆದರೆ HTTPS ಗೆ IPsec ಕೋರು ಎಂಬುದು ರಕ್ಷಣೆ ವಾಕ್ಯ, ಮತ್ತು ಎರಡೂ ಬೇರೆ ಸಂರಚನೆಗೆ ಕೊಂಡೊಯ್ಯುತ್ತವೆ.

ಪ್ರವೇಶ ನಿರ್ಬಂಧ ಮತ್ತು ರಕ್ಷಣಾ ಅಗತ್ಯ ಬೇರ್ಪಡುತ್ತವೆ

ಪ್ರವೇಶ ನಿರ್ಬಂಧವು ಇಂಟರ್‌ಫೇಸ್ ಅನ್ನು ಏನು ಬಳಸಬಹುದು ಎಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಒಂದು ಗುಂಪಿಗೆ ಅನುಮತಿ ನೀಡಿ ಉಳಿದೆಲ್ಲವನ್ನೂ ನಿರಾಕರಿಸುವ ಮೂಲಕ ಜಾರಿಗೊಳಿಸಲಾಗುತ್ತದೆ. ರಕ್ಷಣಾ ಅಗತ್ಯವು ಯಾವ ಹರಿವುಗಳನ್ನು ಗೂಢಲಿಪೀಕರಿಸಿ ದೃಢೀಕರಿಸಬೇಕು ಎಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಅವಕ್ಕೆ ಹೊಂದುವ ಭದ್ರತಾ ಸಂಘಗಳ ಮೇಲೆ ಮಾತುಕತೆ ನಡೆಸುವ ಮೂಲಕ ಜಾರಿಗೊಳಿಸಲಾಗುತ್ತದೆ. ಮೊದಲನೆಯದು ಯಾವುದಾದರೂ ಪಟ್ಟಿಯಲ್ಲಿಲ್ಲದಿದ್ದಾಗ ತಡೆಹಿಡಿಯಲಾದ ವಿನಂತಿಯನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ, ಎರಡನೆಯದು ಬೇಕಾದ ರಕ್ಷಣೆಯನ್ನು ಹೊತ್ತಿರುವ ಅಥವಾ ಸ್ಥಾಪಿತವಾಗದ ಸಂಪರ್ಕವನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ. ಒಂದನ್ನು ಇನ್ನೊಂದೆಂದು ಪರಿಗಣಿಸುವುದು ನೀತಿಯು ಕೊನೆಗೆ ಏನನ್ನೂ ತಡೆಯದಿರುವ ಅಥವಾ ಏನನ್ನೂ ರಕ್ಷಿಸದಿರುವ ಮಾರ್ಗವಾಗಿದೆ.

ಪ್ರಾಯೋಗಿಕ ಪರಿಣಾಮವೆಂದರೆ ಫಿಲ್ಟರ್ ಪಟ್ಟಿ ಮುಚ್ಚಿದ ಗುಂಪು. ಪ್ರೊಫೈಲ್‌ನಲ್ಲಿ ಪಟ್ಟಿ ಇದ್ದರೆ, ಆ ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ಯಾವುದೇ ನಮೂದಿಗೆ ಹೊಂದದ ಟ್ರಾಫಿಕ್ ನಿರಾಕರಿಸಲ್ಪಡುತ್ತದೆ, ಆದ್ದರಿಂದ DNS, ದೃಢೀಕರಣ ವಿನಿಮಯಗಳು ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್‌ಗೆ ಬೇಕಾದ ಯಾವುದೇ ಅವಲಂಬನೆಗೆ ತಮ್ಮದೇ ನಮೂದುಗಳು ಬೇಕು. ನಿರಾಕರಣೆಗಳನ್ನು ಸದ್ದಿಲ್ಲದಂತೆ ಮಾಡಲು ಒಂದು ಅಗಲವಾದ ನಿಯಮ ಸೇರಿಸಿದರೆ ಇಡೀ ಇಂಟರ್‌ಫೇಸ್ ಮತ್ತೆ ತೆರೆಯುತ್ತದೆ ಮತ್ತು ನಿರ್ಬಂಧವನ್ನು ಸದ್ದಿಲ್ಲದೆ ರದ್ದುಗೊಳಿಸುತ್ತದೆ. ಪಟ್ಟಿ ಅಗತ್ಯ ಅನುಮತಿಸುವಷ್ಟು ಚಿಕ್ಕದಾಗಿರಬೇಕು ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಕೋರುವಷ್ಟು ಪೂರ್ಣವಾಗಿರಬೇಕು.

ಫಿಲ್ಟರ್ ಪಟ್ಟಿಯನ್ನು ಪೂರ್ಣ ಗುಂಪಾಗಿ ನಿರ್ಮಿಸಿ

VPNv2 ಪ್ರೊಫೈಲ್‌ಗಳು ರೂಟ್ ಪಟ್ಟಿಯಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಫಿಲ್ಟರ್ ಪಟ್ಟಿಯನ್ನು ಹೊತ್ತಿರುತ್ತವೆ, ಮತ್ತು ಅದರ ನಮೂದುಗಳು ಆಜ್ಞೆಗಳಲ್ಲ, ಪ್ರೊಫೈಲ್ ಗುಣಲಕ್ಷಣಗಳು. HTTPS ಉದಾಹರಣೆಗೆ ನಮೂದಿಗೆ ಪ್ರೋಟೋಕಾಲ್ 6, ದೂರದ ವಿಳಾಸ ಮತ್ತು ದೂರದ ಪೋರ್ಟ್ ಬೇಕು, ಅವು ಬಳಸುವ ಪ್ರೊಫೈಲ್ ಪ್ರಕಾರಕ್ಕೆ ನಿರ್ವಹಣಾ ಚಾನೆಲ್ ಅಥವಾ ProfileXML ಮೂಲಕ ನಿಯೋಜಿಸಲಾಗುತ್ತದೆ. Microsoft ನ VPNv2 ಟ್ರಾಫಿಕ್ ಫಿಲ್ಟರ್‌ನ ವ್ಯಾಖ್ಯಾನ ಒಂದು ನಿಯಮದ ಒಳಗಿನ ಷರತ್ತುಗಳು ಸೇರುತ್ತವೆ ಎಂದು ಹೇಳುತ್ತದೆ, ಬೇರೆ ನಿಯಮ ಗುರುತಿಸುವಿಕೆಗಳು ಪರ್ಯಾಯಗಳಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತವೆ.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

ಆ ಪಟ್ಟಿಯಲ್ಲಿನ ಪೋರ್ಟ್ ಮೌಲ್ಯಗಳು ದೂರದ ತುದಿಯಲ್ಲಿನ ಸೇವಾ ಪೋರ್ಟ್ ಅನ್ನು ವಿವರಿಸುತ್ತವೆ, ಮತ್ತು ಸ್ಥಳೀಯ ಪೋರ್ಟ್ ಅನಿರ್ಬಂಧಿತವಾಗಿರಬೇಕು ಇಲ್ಲದಿದ್ದರೆ ಕ್ಲೈಂಟ್‌ನ ಕ್ಷಣಿಕ ಮೂಲ ಪೋರ್ಟ್ ಫಿಲ್ಟರ್ ಆಗುತ್ತದೆ. ಇದನ್ನು ತಲೆಕೆಳಗೆ ಮಾಡಿದರೆ ಯಾವುದಕ್ಕೂ ಹೊಂದದ ನಿಯಮ ಮತ್ತು ಒಂದು ಇಡೀ ಮಧ್ಯಾಹ್ನ ತೆಗೆದುಕೊಳ್ಳುವ ಒಗಟು ಉಂಟಾಗುತ್ತದೆ.

ರೂಟ್ ಮತ್ತು ಫಿಲ್ಟರ್ ಅನ್ನು ಎರಡು ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರಗಳಾಗಿ ಬರೆಯಿರಿ. ರೂಟ್ ಈ ಸರ್ವರ್ ಸುರಂಗದ ಮೂಲಕ ತಲುಪುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಫಿಲ್ಟರ್ ಯಾವ ಸೇವೆಗಳು ಆ ಮಾರ್ಗವನ್ನು ಬಳಸಬಹುದು ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ.

ಎರಡು ವಿನಂತಿಗಳಿಂದ ಎರಡೂ ಫಲಿತಾಂಶಗಳನ್ನು ಸಾಬೀತುಪಡಿಸಿ

ಅನುಮತಿಸಲಾದ ಹರಿವು ಮತ್ತು ನಿರಾಕರಿಸಲಾದ ಹರಿವನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರೀಕ್ಷಿಸಿ, ಮತ್ತು ಕಾಣೆಯಾದ ಪುಟದ ಬದಲು ವೈಫಲ್ಯವನ್ನು ಓದಿ. ಬೇಗ ಬರುವ ನಿರಾಕರಣೆ ನೀತಿಯ ನಿರ್ಧಾರ, ಆದರೆ ಸಮಯ ಮೀರಿಕೆ ಹೆಚ್ಚಾಗಿ ಕಾಣೆಯಾದ ರೂಟ್ ಅಥವಾ ಕೇಳದ ಸೇವೆಯಾಗಿರುತ್ತದೆ. ಕೆಳಗಿನ ಆಜ್ಞೆಗಳು ಎರಡೂ ವಿನಂತಿಗಳನ್ನು ಚಲಾಯಿಸಿ ಜಾರಿಯಲ್ಲಿರುವ ನಿಯಮಗಳನ್ನು ತೋರಿಸುತ್ತವೆ.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB ಪರೀಕ್ಷೆಯಲ್ಲಿ ತ್ವರಿತ ನಿರಾಕರಣೆ ಮತ್ತು HTTPS ಪರೀಕ್ಷೆಯಲ್ಲಿ ಯಶಸ್ಸು ಫಿಲ್ಟರ್ ಉತ್ಪಾದಿಸಬೇಕಿದ್ದ ಫಲಿತಾಂಶ. ಎರಡೂ ಪೋರ್ಟ್‌ಗಳಲ್ಲಿ ನಿರಾಕರಣೆ ಎಂದರೆ ಪಟ್ಟಿಯಲ್ಲಿ ಸೆಷನ್‌ಗೆ ಬೇಕಾದ ಯಾವುದೋ ಕಾಣೆಯಾಗಿದೆ, ಮತ್ತು ಎರಡರಲ್ಲೂ ಸಮಯ ಮೀರಿಕೆ ಫಿಲ್ಟರಿಂಗ್ ಬದಲು ರೂಟಿಂಗ್‌ಗೆ ಸೂಚಿಸುತ್ತದೆ. ರಕ್ಷಿತ ಹರಿವುಗಳು IPsec ಔಟ್‌ಪುಟ್‌ನಲ್ಲಿ ಯಾವುದೇ ಭದ್ರತಾ ಸಂಘವಿಲ್ಲ ಎಂದು ತೋರಿಸಿದರೆ, ಸಂಪರ್ಕ ಯಶಸ್ವಿಯಾದರೂ ರಕ್ಷಣಾ ಅಗತ್ಯ ಪೂರೈಸಲ್ಪಟ್ಟಿಲ್ಲ. ನಾಲ್ಕೂ ಔಟ್‌ಪುಟ್‌ಗಳನ್ನು ಒಟ್ಟಿಗೆ ಓದಿ, ಏಕೆಂದರೆ ಪ್ರತಿಯೊಂದೂ ಒಂಟಿಯಾಗಿ ಬೇರೆ ಕಥೆಗೆ ಆಧಾರ ನೀಡುತ್ತದೆ.

ಫಲಿತಾಂಶಗಳ ಜೊತೆಗೆ ಜಾರಿಯಲ್ಲಿರುವ ಪ್ರೊಫೈಲ್, ನಿಯಮ ಗುಂಪು ಮತ್ತು ಎದುರಿನ ಬದಿಯ ನೀತಿಯನ್ನು ದಾಖಲಿಸಿ. ಹಳೆಯ Windows ಕ್ಲೈಂಟ್‌ಗಳ ಬಗ್ಗೆ ಇತಿಹಾಸದ ಹೊಂದಾಣಿಕೆ ಟಿಪ್ಪಣಿಗಳು ಇಂದಿನ ನಿರ್ವಹಿತ ಪ್ರೊಫೈಲ್ ವೈಶಿಷ್ಟ್ಯಗಳು ನಿರ್ದಿಷ್ಟ ಗೇಟ್‌ವೇಯಲ್ಲಿ ಏನನ್ನು ಬೆಂಬಲಿಸುತ್ತವೆ ಎಂದು ವಿವರಿಸುವುದಿಲ್ಲ. ಆವೃತ್ತಿ-ನಿರ್ದಿಷ್ಟ ವರ್ತನೆ ಊಹೆಯಲ್ಲ, ದಾಖಲೆಯಲ್ಲಿ ಇರಬೇಕು.