Филтер за VPN сообраќај или IPsec правило: каде Windows применува порта

Рутата гледа одредиште, не услуга. Одлучете дали ви треба филтер за пристап на VPN профилот или IPsec правило што бара заштита за текот.

Еден корисник на Windows VPN треба да стигне до HTTPS на сервер и да не стигне до SMB на истиот сервер, а рутата не може да го изрази тоа. Двете барања носат иста адреса на одредиште, па префиксот што го праќа сообраќајот во тунелот го носи и текот што сакавте да го исклучите. Нивното разделување бара правило што испитува нешто пофино од одредиштето.

Две различни намери се градат со два различни Windows механизми. Нивното мешање дава политика што изгледа целосна, а применува половина од она што го мислевте.

Рутата не може да раздели две услуги на една адреса

Вродното VPN рутирање се заснова на префикси: го одлучува тоа кои одредишта патуваат низ тунелот, а кои остануваат надвор. Тоа е вистинската алатка за држење на една подмрежа внатре, а друга надвор, и по конструкција е слепа за порти. Филтерот за сообраќај на VPN профилот додава втора димензија: го усогласува протоколот, далечната адреса и далечната порта со она што може да ја премине таа интерфејс. IPsec правилото работи на трето место и изразува кои текови бараат заштита и со кого се автентицираат. Трите одговараат на различни прашања и ниту едно не ги заменува другите.

Започнете со пишување на саканата реченица. Дозволи само HTTPS е реченица за пристап, додека барај IPsec за HTTPS е реченица за заштита, и двете водат кон различна конфигурација.

Ограничувањето на пристап и барањето за заштита се разидуваат

Ограничувањето на пристап кажува што смее да го користи интерфејсот и се применува со дозволување на множество и одбивање на сето останато. Барањето за заштита кажува кои текови мора да бидат шифрирани и автентицирани и се применува со преговарање за безбедносни асоцијации што им одговараат. Првото дава блокирано барање кога нешто не е на списокот, додека второто дава врска што или ја носи бараната заштита или не се воспоставува. Третирањето на едното како другото е начинот на кој политиката завршува без да блокира ништо или без да заштити ништо.

Практичната последица е дека списокот за филтрирање е затворено множество. Откако ќе постои список на профилот, сообраќајот низ тој интерфејс што не одговара на ниту еден запис се одбива, затоа DNS, размените за автентикација и секоја зависност што на апликацијата ѝ треба бараат свои записи. Додавањето на едно широко правило за да се смират одбивањата повторно го отвора целиот интерфејс и тивко го откажува ограничувањето. Списокот треба да биде толку краток колку што барањето дозволува и толку целосен колку што апликацијата бара.

Изградете го списокот за филтрирање како целосно множество

Профилите VPNv2 го носат списокот за филтрирање одделно од списокот на рути, а неговите записи се својства на профилот, а не наредби. За примерот со HTTPS записот бара протокол 6, далечната адреса и далечната порта, распоредени низ каналот за управување или ProfileXML за видот на профилот што се користи. Дефиницијата на Microsoft за филтер за VPNv2 сообраќај наведува дека условите во едно правило се комбинираат, додека одделните идентификатори на правила дејствуваат како алтернативи.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Вредностите на портите во тој список го опишуваат портата на услугата на далечниот крај, а локалната порта треба да остане неограничена за да не се филтрира ефемерната изворна порта на клиентот. Обратното дава правило што не одговара на ништо и загатка што одзема цело попладне.

Запишете ја рутата и филтерот како две одделни одлуки. Рутата одлучува дека до овој сервер се стигнува низ тунелот, а филтерот одлучува кои услуги смеат да го користат тој пат.

Докажете ги двата исхода со две барања

Тестирајте го дозволениот тек и одбиениот тек одделно и читајте го неуспехот, а не страницата што недостасува. Брзото одбивање е одлука на политиката, додека истекот на време е поверојатно рута што недостасува или услуга што не слуша. Наредбите подолу ги извршуваат двете барања и ги прикажуваат правилата што важат.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Брзо одбивање во тестот за SMB со успешен тест за HTTPS е исходот што филтерот требаше да го даде. Одбивање на двете порти значи дека на списокот му недостасува нешто што на сесијата ѝ треба, а истекот на време на двете упатува на рутирање, а не на филтрирање. Ако заштитените текови покажуваат нема безбедносна асоцијација во излезот на IPsec, барањето за заштита не е исполнето дури и кога врската успева. Читајте ги сите четири излези заедно, зашто секој сам поддржува друга приказна.

Запишете го дејствувачкиот профил, множеството правила и политиката на другата страна заедно со резултатите. Историските белешки за компатибилност со постари Windows клиенти не опишуваат што поддржуваат денешните функции на управуван профил на конкретен портал. Однесувањето зависно од верзијата припаѓа во записот, а не во претпоставката.

Поврзани статии