VPN srauto filtras ar IPsec taisyklė: kur Windows taiko prievadą

Maršrutas mato paskirties vietą, o ne paslaugą. Nuspręskite, ar jums reikia prieigos filtro VPN profilyje, ar IPsec taisyklės, kuri reikalauja apsaugos srautui.

Vienas Windows VPN naudotojas turi pasiekti serverio HTTPS ir nepasiekti to paties serverio SMB, o maršrutas to negali išreikšti. Abi užklausos turi tą patį paskirties adresą, todėl prefiksas, kuris siunčia srautą į tunelį, neša ir srautą, kurį norėjote išskirti. Jiems atskirti reikia taisyklės, kuri nagrinėja ką nors smulkesnio už paskirties vietą.

Du skirtingi ketinimai statomi dviem skirtingais Windows mechanizmais. Juos sumaišius gaunama politika, kuri atrodo išsami, bet taiko pusę to, ką turėjote omenyje.

Maršrutas negali atskirti dviejų paslaugų viename adrese

Natūralus VPN maršrutizavimas pagrįstas prefiksais: jis nusprendžia, kurios paskirties vietos keliauja per tunelį, o kurios lieka lauke. Tai tinkamas įrankis laikyti vieną potinklį viduje, o kitą lauke, ir pagal konstrukciją jis aklas prievadams. VPN profilio srauto filtras prideda antrą matmenį: jis derina protokolą, nuotolinį adresą ir nuotolinį prievadą prie to, kas gali kirsti tą sąsają. IPsec taisyklė veikia trečioje vietoje ir išreiškia, kurie srautai reikalauja apsaugos ir su kuo jie autentifikuojasi. Visi trys atsako į skirtingus klausimus ir nė vienas nepakeičia kitų.

Pradėkite parašydami numatomą sakinį. Leisti tik HTTPS yra prieigos sakinys, o reikalauti IPsec HTTPS atveju yra apsaugos sakinys, ir abu veda prie skirtingos konfigūracijos.

Prieigos apribojimas ir apsaugos reikalavimas išsiskiria

Prieigos apribojimas sako, kas gali naudoti sąsają, ir jis vykdomas leidžiant aibę ir atsisakant viso kito. Apsaugos reikalavimas sako, kurie srautai turi būti šifruojami ir autentifikuojami, ir jis vykdomas derantis dėl juos atitinkančių saugos asociacijų. Pirmasis sukuria blokuotą užklausą, kai ko nors nėra sąraše, o antrasis sukuria ryšį, kuris arba neša reikalaujamą apsaugą, arba nenusistovi. Vieno traktavimas kaip kito yra kelias, kuriuo politika galiausiai nieko neblokuoja arba nieko neapsaugo.

Praktinė pasekmė yra ta, kad filtrų sąrašas yra uždara aibė. Kai profilyje yra sąrašas, srautas per tą sąsają, kuris neatitinka nė vieno įrašo, atmetamas, todėl DNS, autentifikacijos mainai ir bet kokia priklausomybė, kurios reikia programai, reikalauja savo įrašų. Pridėjus vieną plačią taisyklę atmetimams nutildyti, vėl atidaroma visa sąsaja ir tyliai panaikinamas apribojimas. Sąrašas turi būti toks trumpas, kiek leidžia reikalavimas, ir toks išsamus, kiek reikalauja programa.

Sukurkite filtrų sąrašą kaip išsamią aibę

VPNv2 profiliai filtrų sąrašą turi atskirai nuo maršrutų sąrašo, o jo įrašai yra profilio savybės, o ne komandos. HTTPS pavyzdžiui įrašui reikia 6 protokolo, nuotolinio adreso ir nuotolinio prievado, diegiamų per valdymo kanalą arba ProfileXML pagal naudojamą profilio tipą. Microsoft VPNv2 srauto filtro apibrėžimas teigia, kad vienos taisyklės viduje sąlygos sujungiamos, o atskiri taisyklės identifikatoriai veikia kaip alternatyvos.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

To sąrašo prievadų reikšmės aprašo paslaugos prievadą tolimajame gale, o vietinis prievadas turėtų likti neribojamas, kad kliento laikinasis šaltinio prievadas nebūtų atfiltruotas. Padarius atvirkščiai gaunama taisyklė, kuri nieko neatitinka, ir galvosūkis visai popietei.

Rašykite maršrutą ir filtrą kaip du atskirus sprendimus. Maršrutas nusprendžia, kad šis serveris pasiekiamas per tunelį, o filtras nusprendžia, kurios paslaugos gali naudoti tą kelią.

Įrodykite abu rezultatus dviem užklausomis

Tikrinkite leistiną srautą ir atmestą srautą atskirai, ir skaitykite nesėkmę, o ne trūkstamą puslapį. Greitai atėjęs atmetimas yra politikos sprendimas, o laiko limitas labiau tikėtina reiškia trūkstamą maršrutą arba paslaugą, kuri nesiklauso. Žemiau esančios komandos paleidžia abi užklausas ir parodo galiojančias taisykles.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Greitas atmetimas SMB teste su sėkmingu HTTPS testu yra rezultatas, kurį filtras turėjo duoti. Atmetimas abiejuose prievaduose reiškia, kad sąraše trūksta ko nors, ko reikia sesijai, o laiko limitas abiejuose rodo maršrutizavimą, o ne filtravimą. Jei apsaugoti srautai IPsec išvestyje rodo jokios saugos asociacijos, apsaugos reikalavimas neįvykdytas net tada, kai ryšys pavyksta. Skaitykite visas keturias išvestis kartu, nes kiekviena atskirai palaiko skirtingą istoriją.

Užrašykite veiksmingą profilį, taisyklių rinkinį ir kitos pusės politiką kartu su rezultatais. Istorinės suderinamumo pastabos apie senesnius Windows klientus neaprašo, ką šiandieninės valdomo profilio funkcijos palaiko konkrečiame šliuze. Nuo versijos priklausantis elgesys priklauso įrašui, o ne prielaidai.

Susiję straipsniai