VPN-Traffiksfilter oder IPsec-Reeg: wou Windows e Port ëmsetzt

Eng Route gesäit eng Destinatioun, net e Service. Entscheet, ob Dir e Zougrëffsfilter um VPN-Profil braucht oder eng IPsec-Reeg, déi Schutz fir de Flux verlaangt.

Een Windows-VPN-Benotzer soll HTTPS op engem Server erreechen an net SMB op deem selwechte Server, an eng Route kann dat net ausdrécken. Béid Ufroe droen déiselwecht Destinatiounsadress, dofir dréit de Prefix, deen den Traffik an den Tunnel schéckt, och de Flux, deen Dir wollt ausschléissen. Fir se ze trennen, brauch een eng Reeg, déi eppes méi Feines wéi d'Destinatioun iwwerpréift.

Zwou ënnerschiddlech Absichtë ginn mat zwou ënnerschiddlechen Windows-Mechanismen opgebaut. Se vermëschen ergëtt eng Politique, déi komplett ausgesäit an awer nëmmen d'Halschent vun deem ëmsetzt, wat Dir gemengt hutt.

Eng Route kann zwéi Servicer op enger Adress net trennen

Déi ursprénglech VPN-Routage baséiert op Prefixen: se entscheet, wéi eng Destinatiounen duerch den Tunnel ginn a wéi eng dobausse bleiwen. Dat ass dat richtegt Instrument, fir een Subnetz banne an en anert dobaussen ze halen, an et ass vu Konstruktioun hier blann fir Porten. E Traffiksfilter um VPN-Profil bäisetzt eng zweet Dimensioun: en gläicht Protokoll, wäit Adress an wäite Port u fir dat, wat dës Schnëttstell dierf iwwerqueren. Eng IPsec-Reeg schafft op enger drëtter Plaz an dréckt aus, wéi eng Flëss Schutz verlaangen a mat wiem se sech authentifizéieren. Déi dräi beäntweren ënnerschiddlech Froen an keng ersetzt déi aner.

Fänkt domat un, de gewënschten Saz ze schreiwen. Nëmmen HTTPS erlaben ass en Zougrëffssaz, wärend IPsec fir HTTPS verlaangen e Schutzsaz ass, an déi zwee féieren zu enger anerer Konfiguratioun.

Zougrëffsbeschränkung a Schutzufuerderung ginn auserneen

Eng Zougrëffsbeschränkung seet, wat d'Schnëttstell dierf benotzen, an se gëtt ëmgesat, andeems eng Rei erlaabt an alles anescht ofgeleent gëtt. Eng Schutzufuerderung seet, wéi eng Flëss verschlësselt an authentifizéiert musse ginn, an se gëtt ëmgesat, andeems passend Sécherheetsassociatiounen ausgehandelt ginn. Déi éischt gëtt eng blockéiert Ufro, wann eppes net op der Lëscht steet, wärend déi zweet eng Verbindung gëtt, déi entweder de verlaangte Schutz dréit oder net zustane kënnt. Dat een als dat anert ze behandelen ass de Wee, op deem eng Politique schlussendlech näischt blockéiert oder näischt schützt.

D'praktesch Konsequenz ass, datt eng Filterlëscht eng zouene Reih ass. Soubal eng Lëscht um Profil existéiert, gëtt Traffik iwwer déi Schnëttstell, deen keen Eintrag entsprécht, ofgeleent, dofir brauche DNS, Authentifizéierungsaustausch an all Ofhängegkeet, déi d'Applikatioun brauch, hir eege Einträg. Eng breet Reeg derbäizesetzen, fir d'Oflehnungen ze berouegen, mécht déi ganz Schnëttstell erëm op an annuléiert d'Beschränkung roueg. D'Lëscht soll esou kuerz sinn, wéi d'Ufuerderung et erlaabt, an esou komplett, wéi d'Applikatioun et verlaangt.

Baut d'Filterlëscht als eng komplett Reih op

VPNv2-Profiler droen d'Filterlëscht getrennt vun der Routelëscht, an hir Einträg si Profileigenschaften an net Kommandoen. Fir d'HTTPS-Beispill brauch den Eintrag Protokoll 6, d'wäit Adress an de wäite Port, déi iwwer de Verwaltungskanal oder ProfileXML fir de benotzten Profiltyp ausgerullt ginn. Dem Microsoft seng Definitioun vum VPNv2-Traffiksfilter seet, datt Bedingunge bannent enger Reeg kombinéiert ginn, wärend getrennt Reegidentifikatoren als Alternativen handelen.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

D'Portwäerter an där Lëscht beschreiwen de Serviceport um wäiten Enn, an de lokale Port soll onbeschränkt bleiwen, sou datt de séier vergänglechen Ursprongsport vum Client net erausgefiltert gëtt. Et ëmgedréit ze maache gëtt eng Reeg, déi op näischt passt, an e Rätsel, dat e Nomëtteg kascht.

Schreift d'Route an de Filter als zwee getrennt Entscheedungen. D'Route entscheet, datt dëse Server duerch den Tunnel erreecht gëtt, an de Filter entscheet, wéi eng Servicer dee Wee dierfen notzen.

Beweist béid Resultater mat zwou Ufroen

Test de erlaabte Flux an den ofgeleente Flux getrennt, a liest de Feeler amplaz vun der fehlender Säit. Eng Oflehnung, déi séier kënnt, ass eng Politikentscheedung, wärend eng Zäitiwwerschreidung méi wahrscheinlech eng fehlend Route oder e Service ass, deen net lauschtert. D'Kommandoen hei drënner féieren béid Ufroe aus a weisen d'Reegelen, déi gëllen.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Eng séier Oflehnung am SMB-Test mat engem erfollegräiche HTTPS-Test ass dat Resultat, dat de Filter sollt produzéiert hunn. Eng Oflehnung op béide Porte bedeit, datt der Lëscht eppes feelt, wat d'Sessioun brauch, an eng Zäitiwwerschreidung op béide weist op d'Routage an net op d'Filteren. Wa sech déi geschützt Flëss am IPsec-Ausgang als keng Sécherheetsassociatioun weisen, ass d'Schutzufuerderung net erfëllt, och wann d'Verbindung geléngt. Liest all véier Ausgäng zesummen, well jiddwereen eleng eng aner Geschicht ënnerstëtzt.

Hält de wirksame Profil, de Reegelsaz an d'Politique vun der Géigesäit nieft de Resultater fest. Historesch Kompatibilitéitsnotizen iwwer méi al Windows-Cliente beschreiwen net, wat déi haiteg geréiert Profilfunktiounen op engem bestëmmte Gateway ënnerstëtzen. Versiounsspezifescht Verhalen gehéiert an den Opzeechnung an net an d'Annam.

Ähnlech Artikelen