VPN трафик чыпкасы же IPsec эрежеси: Windows портту кайда колдонот

Windows VPN колдонуучусу бир сервердеги HTTPSке жетүүгө, ал эми ошол эле сервердеги SMBге жетпөөгө тийиш, жана маршрут муну билдире албайт. Эки суроо тең бирдей багыт дарегин алып жүрөт, ошондуктан трафикти туннелге жиберген префикс сиз алып салгыңыз келген агымды да алып жүрөт. Аларды бөлүү үчүн багыттан да назик нерсени текшерген эреже керек.

Эки башка ниет эки башка Windows механизми менен курулат. Аларды аралаштыруу толук көрүнгөн, бирок ниетиңиздин жарымын гана колдонгон саясат жаратат.

Маршрут бир даректеги эки кызматты бөлө албайт

VPNдин табигый маршруттоосу префикстерге негизделген: кайсы багыттар туннелден өтөрүн жана кайсылары сыртта каларын чечет. Бир ички тармакты ичте, экинчисин сыртта кармоо үчүн бул туура курал, жана түзүлүшү боюнча портторго сокур. VPN профилиндеги трафик чыпкасы экинчи өлчөмдү кошот: протоколду, алыскы даректи жана алыскы портту ушул интерфейстен өтө алган нерсеге дал келтирет. IPsec эрежеси үчүнчү жерде иштейт жана кайсы агымдар коргоону талап кыларын жана ким менен аутентификацияланарын билдирет. Үчөө башка суроолорго жооп берет жана эч бири башкаларын алмаштырбайт.

Көздөгөн сүйлөмдү жазуудан баштаңыз. Тек HTTPSке уруксат бер – кирүү сүйлөмү, ал эми HTTPS үчүн IPsec талап кыл – коргоо сүйлөмү, жана экөө башка конфигурацияга алып барат.

Кирүү чектөөсү жана коргоо талабы ажырайт

Кирүү чектөөсү интерфейсти эмне колдоно аларын айтат жана бир топтомго уруксат берип, калганын баарын четке кагуу менен колдонулат. Коргоо талабы кайсы агымдарды шифрлөө жана аутентификациялоо керектигин айтат жана аларга дал келген коопсуздук ассоциациялары боюнча сүйлөшүү менен колдонулат. Биринчиси тизмеде жок нерсе болгондо бөгөттөлгөн суроо жаратат, экинчиси талап кылынган коргоону алып жүргөн же такыр орнотулбаган байланыш жаратат. Бирин экинчиси катары кароо – саясаттын акырында эч нерсени бөгөттөбөй же эч нерсени коргобой калышынын жолу.

Практикалык натыйжа – чыпка тизмеси жабык топтом. Профилде тизме пайда болгондон кийин, ошол интерфейсте эч бир жазууга дал келбеген трафик четке кагылат, ошондуктан DNS, аутентификация алмашуулары жана колдонмого керектүү ар кандай көз карандылык өз жазууларын талап кылат. Четке кагууларды тынчтандыруу үчүн бир кенен эреже кошуу бүт интерфейсти кайра ачат жана чектөөнү тынч жокко чыгарат. Тизме талап уруксат бергендей кыска жана колдонмо талап кылгандай толук болушу керек.

Чыпка тизмесин толук топтом катары куруңуз

VPNv2 профилдери чыпка тизмесин маршрут тизмесинен өзүнчө алып жүрөт, ал эми анын жазуулары буйрук эмес, профилдин касиеттери. HTTPS мисалы үчүн жазууга 6 протоколу, алыскы дарек жана алыскы порт керек, алар колдонулган профиль түрү үчүн башкаруу каналы же ProfileXML аркылуу жайгаштырылат. Microsoftтун VPNv2 трафик чыпкасынын аныктамасы бир эреженин ичиндеги шарттар биригерин, ал эми өзүнчө эреже идентификаторлору альтернатива катары иштейрин айтат.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Ошол тизмедеги порт маанилери алыскы учтагы кызмат портун сүрөттөйт, ал эми жергиликтүү порт чектелбеши керек, ошондо кардардын убактылуу булак порту чыпкаланбайт. Тескерисинче кылуу эч нерсеге дал келбеген эреже жана жарым күн алган табышмак жаратат.

Маршрутту жана чыпканы эки өзүнчө чечим катары жазыңыз. Маршрут бул серверге туннел аркылуу жетерин чечет, ал эми чыпка кайсы кызматтар ошол жолду колдоно аларын чечет.

Эки суроо менен эки натыйжаны тең далилдеңиз

Уруксат берилген агымды жана четке кагылган агымды өзүнчө сынап, жок бетти эмес, ийгиликсиздикти окуңуз. Тез келген четке кагуу – саясаттын чечими, ал эми убакыттын бүтүшү жок маршрут же укпаган кызмат болушу ыктымал. Төмөнкү буйруктар эки суроону тең аткарып, күчүндөгү эрежелерди көрсөтөт.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB сынагында тез четке кагуу жана HTTPS сынагындагы ийгилик – чыпка чыгарышы керек болгон натыйжа. Эки порттодо четке кагуу тизмеде сессияга керектүү нерсе жетишпей жатканын билдирет, ал эми экөөндө тең убакыттын бүтүшү чыпкалоого эмес, маршруттоого ишарат кылат. Эгер корголгон агымдар IPsec чыгарылышында коопсуздук ассоциациясынын жоктугун көрсөтсө, байланыш ийгиликтүү болсо да коргоо талабы аткарылбайт. Төрт чыгарылышты чогуу окуңуз, анткени ар бири өзүнчө башка окуяны колдойт.

Колдонуудагы профилди, эрежелер топтомун жана каршы тараптын саясатын натыйжалар менен бирге жазып алыңыз. Эски Windows кардарлары тууралуу тарыхый шайкештик жазуулары бүгүнкү башкарылуучу профиль мүмкүнчүлүктөрүнүн конкреттүү шлюзда эмнени колдой турганын сүрөттөбөйт. Версияга көз каранды жүрүм-турум жазууга таандык, божомолго эмес.