VPN ട്രാഫിക് ഫിൽട്ടർ അല്ലെങ്കിൽ IPsec നിയമം: Windows എവിടെ പോർട്ട് പ്രയോഗിക്കുന്നു

ഒരു Windows VPN ഉപയോക്താവ് ഒരു സർവറിലെ HTTPS-ൽ എത്തണം, അതേ സർവറിലെ SMB-ൽ എത്തരുത്, ഒരു റൂട്ടിന് അത് പ്രകടിപ്പിക്കാനാവില്ല. രണ്ട് അഭ്യർത്ഥനകളും ഒരേ ലക്ഷ്യ വിലാസം വഹിക്കുന്നു, അതിനാൽ ട്രാഫിക് ടണലിലേക്ക് അയയ്ക്കുന്ന പ്രിഫിക്സ് നിങ്ങൾ ഒഴിവാക്കാൻ ആഗ്രഹിച്ച ഒഴുക്കും വഹിക്കുന്നു. അവയെ വേർതിരിക്കാൻ ലക്ഷ്യസ്ഥാനത്തേക്കാൾ സൂക്ഷ്മമായ എന്തെങ്കിലും പരിശോധിക്കുന്ന നിയമം വേണം.

രണ്ട് വ്യത്യസ്ത ഉദ്ദേശ്യങ്ങൾ രണ്ട് വ്യത്യസ്ത Windows സംവിധാനങ്ങളാൽ നിർമ്മിക്കപ്പെടുന്നു. അവ കലർത്തിയാൽ പൂർണ്ണമായി തോന്നുന്ന, പക്ഷേ നിങ്ങൾ ഉദ്ദേശിച്ചതിന്റെ പകുതി മാത്രം പ്രയോഗിക്കുന്ന നയം ഉണ്ടാകും.

ഒരു റൂട്ടിന് ഒരു വിലാസത്തിൽ രണ്ട് സേവനങ്ങൾ വേർതിരിക്കാനാവില്ല

സ്വാഭാവിക VPN റൂട്ടിംഗ് പ്രിഫിക്സ് അടിസ്ഥാനമാക്കിയുള്ളതാണ്: ഏത് ലക്ഷ്യസ്ഥാനങ്ങൾ ടണലിലൂടെ പോകുന്നു, ഏത് പുറത്ത് നിൽക്കുന്നു എന്ന് അത് തീരുമാനിക്കുന്നു. ഒരു സബ്നെറ്റ് അകത്തും മറ്റൊന്ന് പുറത്തും നിർത്താൻ ഇത് ശരിയായ ഉപകരണമാണ്, നിർമ്മാണപരമായി ഇത് പോർട്ടുകളോട് അന്ധമാണ്. VPN പ്രൊഫൈലിലെ ട്രാഫിക് ഫിൽട്ടർ രണ്ടാം അളവ് ചേർക്കുന്നു: പ്രോട്ടോക്കോൾ, ദൂര വിലാസം, ദൂര പോർട്ട് എന്നിവ ആ ഇന്റർഫേസ് കടക്കാവുന്നതുമായി പൊരുത്തപ്പെടുത്തുന്നു. IPsec നിയമം മൂന്നാം സ്ഥലത്ത് പ്രവർത്തിക്കുന്നു, ഏത് ഒഴുക്കുകൾക്ക് സംരക്ഷണം വേണം, ആരുമായി അവ പ്രാമാണീകരിക്കുന്നു എന്ന് പ്രകടിപ്പിക്കുന്നു. മൂന്നും വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു, ഒന്നും മറ്റൊന്നിന് പകരമാകുന്നില്ല.

ഉദ്ദേശിച്ച വാക്യം എഴുതിയാണ് തുടങ്ങേണ്ടത്. HTTPS മാത്രം അനുവദിക്കുക എന്നത് ആക്സസ് വാക്യമാണ്, HTTPS-ന് IPsec ആവശ്യപ്പെടുക എന്നത് സംരക്ഷണ വാക്യമാണ്, രണ്ടും വ്യത്യസ്ത കോൺഫിഗറേഷനിലേക്ക് നയിക്കുന്നു.

ആക്സസ് നിയന്ത്രണവും സംരക്ഷണ ആവശ്യകതയും വേർപിരിയുന്നു

ആക്സസ് നിയന്ത്രണം ഇന്റർഫേസ് എന്തിന് ഉപയോഗിക്കാമെന്ന് പറയുന്നു, ഒരു കൂട്ടത്തിന് അനുവാദം നൽകി ബാക്കിയെല്ലാം നിഷേധിച്ചാണ് അത് പ്രയോഗിക്കുന്നത്. സംരക്ഷണ ആവശ്യകത ഏത് ഒഴുക്കുകൾ എൻക്രിപ്റ്റ് ചെയ്ത് പ്രാമാണീകരിക്കണമെന്ന് പറയുന്നു, അവയ്ക്ക് യോജിക്കുന്ന സുരക്ഷാ അസോസിയേഷനുകളിൽ ചർച്ച നടത്തിയാണ് അത് പ്രയോഗിക്കുന്നത്. ആദ്യത്തേത് ലിസ്റ്റിൽ ഇല്ലാത്തത് ഉണ്ടാകുമ്പോൾ തടയപ്പെട്ട അഭ്യർത്ഥന നൽകുന്നു, രണ്ടാമത്തേത് ആവശ്യമായ സംരക്ഷണം വഹിക്കുന്ന അല്ലെങ്കിൽ സ്ഥാപിക്കാത്ത ഒരു ബന്ധം നൽകുന്നു. ഒന്നിനെ മറ്റൊന്നായി കാണുന്നതാണ് നയം ഒടുവിൽ ഒന്നും തടയാതെയോ ഒന്നും സംരക്ഷിക്കാതെയോ അവസാനിക്കുന്ന വഴി.

പ്രായോഗിക ഫലം ഫിൽട്ടർ ലിസ്റ്റ് ഒരു അടഞ്ഞ കൂട്ടമാണ് എന്നതാണ്. പ്രൊഫൈലിൽ ഒരു ലിസ്റ്റ് ഉണ്ടായാൽ, ആ ഇന്റർഫേസിലൂടെ ഒരു എൻട്രിയുമായും പൊരുത്തപ്പെടാത്ത ട്രാഫിക് നിഷേധിക്കപ്പെടും, അതിനാൽ DNS, പ്രാമാണീകരണ കൈമാറ്റങ്ങൾ, അപ്ലിക്കേഷന് ആവശ്യമായ ഏത് ആശ്രിതത്വവും സ്വന്തം എൻട്രികൾ ആവശ്യപ്പെടുന്നു. നിഷേധങ്ങൾ നിശബ്ദമാക്കാൻ ഒരു വിശാല നിയമം ചേർത്താൽ മുഴുവൻ ഇന്റർഫേസും വീണ്ടും തുറക്കുകയും നിയന്ത്രണം നിശബ്ദമായി റദ്ദാക്കുകയും ചെയ്യും. ആവശ്യകത അനുവദിക്കുന്നത്ര ചെറുതും അപ്ലിക്കേഷൻ ആവശ്യപ്പെടുന്നത്ര പൂർണ്ണവുമായിരിക്കണം ലിസ്റ്റ്.

ഫിൽട്ടർ ലിസ്റ്റ് ഒരു പൂർണ്ണ കൂട്ടമായി നിർമ്മിക്കുക

VPNv2 പ്രൊഫൈലുകൾ റൂട്ട് ലിസ്റ്റിൽ നിന്ന് വേർതിരിച്ചാണ് ഫിൽട്ടർ ലിസ്റ്റ് വഹിക്കുന്നത്, അതിന്റെ എൻട്രികൾ കമാൻഡുകളല്ല, പ്രൊഫൈൽ ഗുണങ്ങളാണ്. HTTPS ഉദാഹരണത്തിന് എൻട്രിക്ക് പ്രോട്ടോക്കോൾ 6, ദൂര വിലാസം, ദൂര പോർട്ട് ആവശ്യമാണ്, ഉപയോഗിക്കുന്ന പ്രൊഫൈൽ തരത്തിന് മാനേജ്മെന്റ് ചാനലിലൂടെയോ ProfileXML-ലൂടെയോ വിന്യസിക്കുന്നു. Microsoft-ന്റെ VPNv2 ട്രാഫിക് ഫിൽട്ടറിന്റെ നിർവചനം ഒരു നിയമത്തിനുള്ളിലെ വ്യവസ്ഥകൾ സംയോജിക്കുന്നു, വേറിട്ട നിയമ ഐഡന്റിഫയറുകൾ ബദലുകളായി പ്രവർത്തിക്കുന്നു എന്ന് പറയുന്നു.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

ആ ലിസ്റ്റിലെ പോർട്ട് മൂല്യങ്ങൾ ദൂര അറ്റത്തെ സേവന പോർട്ടിനെ വിവരിക്കുന്നു, ലോക്കൽ പോർട്ട് പരിമിതപ്പെടുത്താതെ നിൽക്കണം, അല്ലെങ്കിൽ ക്ലയന്റിന്റെ താൽക്കാലിക സ്രോതസ്സ് പോർട്ട് ഫിൽട്ടർ ചെയ്യപ്പെടും. ഇത് തലകീഴായി ചെയ്താൽ ഒന്നുമായും പൊരുത്തപ്പെടാത്ത നിയമവും ഒരു ഉച്ചയ്ക്ക് എടുക്കുന്ന പ്രഹേളികയും ലഭിക്കും.

റൂട്ടും ഫിൽട്ടറും രണ്ട് വേറിട്ട തീരുമാനങ്ങളായി എഴുതുക. ഈ സർവറിൽ ടണലിലൂടെ എത്തുന്നു എന്ന് റൂട്ട് തീരുമാനിക്കുന്നു, ഏത് സേവനങ്ങൾക്ക് ആ വഴി ഉപയോഗിക്കാമെന്ന് ഫിൽട്ടർ തീരുമാനിക്കുന്നു.

രണ്ട് അഭ്യർത്ഥനകളിലൂടെ രണ്ട് ഫലങ്ങളും തെളിയിക്കുക

അനുവദിച്ച ഒഴുക്കും നിഷേധിച്ച ഒഴുക്കും വേറിട്ട് പരിശോധിക്കുക, കാണാത്ത പേജിന് പകരം പരാജയം വായിക്കുക. വേഗം വരുന്ന നിഷേധം ഒരു നയ തീരുമാനമാണ്, സമയപരിധി കഴിയുന്നത് കാണാത്ത റൂട്ടോ കേൾക്കാത്ത സേവനമോ ആകാനാണ് സാധ്യത. താഴെയുള്ള കമാൻഡുകൾ രണ്ട് അഭ്യർത്ഥനകളും പ്രവർത്തിപ്പിച്ച് പ്രാബല്യത്തിലുള്ള നിയമങ്ങൾ കാണിക്കുന്നു.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB പരിശോധനയിൽ വേഗത്തിലുള്ള നിഷേധവും HTTPS പരിശോധനയിലെ വിജയവുമാണ് ഫിൽട്ടർ ഉണ്ടാക്കേണ്ടിയിരുന്ന ഫലം. രണ്ട് പോർട്ടുകളിലും നിഷേധം എന്നാൽ സെഷന് ആവശ്യമായ എന്തോ ലിസ്റ്റിൽ ഇല്ല എന്നാണ്, രണ്ടിലും സമയപരിധി കഴിയുന്നത് ഫിൽട്ടറിംഗിനെക്കാൾ റൂട്ടിംഗിലേക്ക് വിരൽ ചൂണ്ടുന്നു. സംരക്ഷിത ഒഴുക്കുകൾ IPsec ഔട്ട്പുട്ടിൽ സുരക്ഷാ അസോസിയേഷൻ ഇല്ല എന്ന് കാണിച്ചാൽ, ബന്ധം വിജയിച്ചാലും സംരക്ഷണ ആവശ്യകത പൂർത്തീകരിക്കപ്പെടുന്നില്ല. നാല് ഔട്ട്പുട്ടുകളും ഒരുമിച്ച് വായിക്കുക, കാരണം ഓരോന്നും ഒറ്റയ്ക്ക് വ്യത്യസ്ത കഥയെ പിന്തുണയ്ക്കുന്നു.

ഫലങ്ങൾക്കൊപ്പം പ്രാബല്യത്തിലുള്ള പ്രൊഫൈൽ, നിയമ കൂട്ടം, എതിർവശത്തിന്റെ നയം എന്നിവ രേഖപ്പെടുത്തുക. പഴയ Windows ക്ലയന്റുകളെക്കുറിച്ചുള്ള ചരിത്രപരമായ അനുയോജ്യത കുറിപ്പുകൾ ഇന്നത്തെ മാനേജ്ഡ് പ്രൊഫൈൽ സവിശേഷതകൾ ഒരു പ്രത്യേക ഗേറ്റ്വേയിൽ എന്ത് പിന്തുണയ്ക്കുന്നു എന്ന് വിവരിക്കുന്നില്ല. പതിപ്പ് അനുസരിച്ചുള്ള സ്വഭാവം അനുമാനത്തിലല്ല, രേഖയിൽ ആയിരിക്കണം.