VPN trafika filtrs vai IPsec noteikums: kur Windows piemēro portu

Maršruts redz galamērķi, nevis pakalpojumu. Izlemiet, vai jums vajag piekļuves filtru VPN profilā vai IPsec noteikumu, kas prasa aizsardzību plūsmai.

Vienam Windows VPN lietotājam jāsasniedz HTTPS uz servera un nav jāsasniedz SMB uz tā paša servera, un maršruts to nevar izteikt. Abi pieprasījumi nes vienu un to pašu galamērķa adresi, tāpēc prefikss, kas sūta trafiku tunelī, nes arī plūsmu, kuru gribējāt izslēgt. Lai tos atdalītu, vajadzīgs noteikums, kas pārbauda kaut ko smalkāku par galamērķi.

Divi atšķirīgi nolūki tiek būvēti ar diviem atšķirīgiem Windows mehānismiem. To sajaukšana rada politiku, kas izskatās pilnīga, bet piemēro pusi no tā, ko domājāt.

Maršruts nevar atdalīt divus pakalpojumus vienā adresē

Vietējā VPN maršrutēšana balstās uz prefiksiem: tā izlemj, kuri galamērķi iet caur tuneli un kuri paliek ārpusē. Tas ir pareizais rīks, lai noturētu vienu apakštīklu iekšā un otru ārpusē, un pēc uzbūves tas ir akls pret portiem. VPN profila trafika filtrs pievieno otru dimensiju: tas saskaņo protokolu, attālo adresi un attālo portu ar to, kas drīkst šķērsot šo saskarni. IPsec noteikums strādā trešajā vietā un izsaka, kuras plūsmas prasa aizsardzību un ar ko tās autentificējas. Visi trīs atbild uz dažādiem jautājumiem, un neviens neaizstāj pārējos.

Sāciet ar to, ka uzrakstāt paredzēto teikumu. Atļaut tikai HTTPS ir piekļuves teikums, savukārt prasīt IPsec HTTPS gadījumā ir aizsardzības teikums, un abi ved uz atšķirīgu konfigurāciju.

Piekļuves ierobežojums un aizsardzības prasība atšķiras

Piekļuves ierobežojums saka, kas drīkst izmantot saskarni, un to īsteno, atļaujot kopu un atsakot visu pārējo. Aizsardzības prasība saka, kuras plūsmas jāšifrē un jāautentificē, un to īsteno, vienojoties par tām atbilstošām drošības asociācijām. Pirmais rada bloķētu pieprasījumu, kad kaut kas nav sarakstā, savukārt otrais rada savienojumu, kas vai nu nes prasīto aizsardzību, vai arī neveidojas. Vienu uzskatīt par otru ir ceļš, kā politika galu galā neko nebloķē vai neko neaizsargā.

Praktiskā sekas ir tāda, ka filtru saraksts ir slēgta kopa. Kad profilā ir saraksts, trafiks pa šo saskarni, kas neatbilst nevienam ierakstam, tiek noraidīts, tāpēc DNS, autentifikācijas apmaiņas un jebkura atkarība, kas vajadzīga lietotnei, prasa savus ierakstus. Pievienojot vienu plašu noteikumu, lai apklusinātu noraidījumus, atkal tiek atvērta visa saskarne un klusi atcelts ierobežojums. Sarakstam jābūt tik īsam, cik prasība atļauj, un tik pilnīgam, cik lietotne prasa.

Veidojiet filtru sarakstu kā pilnīgu kopu

VPNv2 profili filtru sarakstu nes atsevišķi no maršrutu saraksta, un tā ieraksti ir profila īpašības, nevis komandas. HTTPS piemērā ierakstam vajag 6. protokolu, attālo adresi un attālo portu, kas izvietoti caur pārvaldības kanālu vai ProfileXML atbilstoši izmantotajam profila veidam. Microsoft VPNv2 trafika filtra definīcija norāda, ka nosacījumi viena noteikuma ietvaros tiek kombinēti, savukārt atsevišķi noteikuma identifikatori darbojas kā alternatīvas.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Portu vērtības šajā sarakstā apraksta pakalpojuma portu tālajā galā, un vietējam portam jāpaliek neierobežotam, lai klienta īslaicīgais avota ports netiktu atfiltrēts. Rīkoties otrādi nozīmē noteikumu, kas neatbilst nekam, un mīklu, kas aizņem pēcpusdienu.

Rakstiet maršrutu un filtru kā divus atsevišķus lēmumus. Maršruts izlemj, ka šis serveris tiek sasniegts caur tuneli, un filtrs izlemj, kuri pakalpojumi drīkst izmantot šo ceļu.

Pierādiet abus rezultātus ar diviem pieprasījumiem

Pārbaudiet atļauto plūsmu un noraidīto plūsmu atsevišķi, un lasiet neveiksmi, nevis trūkstošo lapu. Strauji pienākošs noraidījums ir politikas lēmums, savukārt taimauts drīzāk nozīmē trūkstošu maršrutu vai pakalpojumu, kas neklausās. Zemāk esošās komandas izpilda abus pieprasījumus un parāda spēkā esošos noteikumus.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Straujš noraidījums SMB testā ar veiksmīgu HTTPS testu ir rezultāts, kāds filtram bija jārada. Noraidījums abos portos nozīmē, ka sarakstā trūkst kaut kā, kas vajadzīgs sesijai, un taimauts abos norāda uz maršrutēšanu, nevis filtrēšanu. Ja aizsargātās plūsmas IPsec izvadē rāda nav drošības asociācijas, aizsardzības prasība nav izpildīta arī tad, kad savienojums izdodas. Lasiet visus četrus izvadus kopā, jo katrs atsevišķi atbalsta citu stāstu.

Pierakstiet faktisko profilu, noteikumu kopu un otras puses politiku kopā ar rezultātiem. Vēsturiskas saderības piezīmes par vecākiem Windows klientiem neapraksta, ko mūsdienu pārvaldītā profila funkcijas atbalsta konkrētā vārtejā. No versijas atkarīga uzvedība pieder ierakstam, nevis pieņēmumam.

Saistītie raksti