VPN траффикийн шүүлтүүр эсвэл IPsec дүрэм: Windows портыг хаана хэрэгжүүлдэг

Маршрут очих газрыг хардаг, үйлчилгээг биш. VPN профайл дээр нэвтрэх шүүлтүүр хэрэгтэй юу эсвэл урсгалд хамгаалалт шаарддаг IPsec дүрэм хэрэгтэй юу гэдгийг шийдээрэй.

Windows VPN-ийн нэг хэрэглэгч сервер дээрх HTTPS-д хүрч, мөн сервер дээрх SMB-д хүрэхгүй байх ёстой бөгөөд маршрут үүнийг илэрхийлж чадахгүй. Хоёр хүсэлт ижил очих хаягийг агуулдаг тул траффикийг туннель руу илгээдэг префикс нь таны хасахыг хүссэн урсгалыг ч агуулна. Тэдгээрийг салгахад очих газраас илүү нарийн зүйлийг шалгадаг дүрэм хэрэгтэй.

Хоёр өөр санааг хоёр өөр Windows механизмаар бүтээдэг. Тэдгээрийг холиход бүрэн мэт харагдах боловч санааг тань хагасыг л хэрэгжүүлдэг бодлого үүсдэг.

Маршрут нэг хаяг дээрх хоёр үйлчилгээг салгаж чадахгүй

VPN-ийн уугуул маршрутлалт префикс дээр суурилдаг: аль очих газар туннелээр гарч, аль нь гадаа үлдэхийг шийддэг. Нэг дэд сүлжээг дотроо, нөгөөг гадаа байлгахад энэ зөв хэрэгсэл бөгөөд бүтцээрээ портуудад сохор. VPN профайл дээрх траффикийн шүүлтүүр хоёр дахь хэмжээг нэмдэг: протокол, алслагдсан хаяг болон алслагдсан порт үүнийг тухайн интерфэйсийг дамжиж болох зүйлтэй тааруулдаг. IPsec дүрэм гурав дахь газарт ажиллаж, аль урсгалд хамгаалалт шаардагдахыг, хэнтэй баталгаажуулахыг илэрхийлдэг. Гурвуулаа өөр асуултад хариулдаг бөгөөд аль нь ч бусдыг орлохгүй.

Зорьсон өгүүлбэрээ бичсэнээр эхлээрэй. Зөвхөн HTTPS-д зөвшөөр гэдэг нь нэвтрэх өгүүлбэр, харин HTTPS-д IPsec шаард гэдэг нь хамгаалалтын өгүүлбэр бөгөөд хоёулаа өөр тохиргоо руу хөтөлдөг.

Нэвтрэх хязгаарлалт ба хамгаалалтын шаардлага салдаг

Нэвтрэх хязгаарлалт интерфэйсийг юу ашиглаж болохыг хэлдэг бөгөөд нэг олонлогийг зөвшөөрч, бусад бүгдийг татгалзах замаар хэрэгждэг. Хамгаалалтын шаардлага аль урсгалыг шифрлэж, баталгаажуулах ёстойг хэлдэг бөгөөд тэдгээрт тохирох аюулгүй байдлын холбоо тогтоох замаар хэрэгждэг. Эхнийх нь ямар нэг зүйл жагсаалтад байхгүй үед хаагдсан хүсэлт үүсгэдэг бол хоёр дахь нь шаардсан хамгаалалтыг агуулсан эсвэл огт тогтоогдохгүй холболт үүсгэдэг. Нэгийг нөгөө мэт үзэх нь бодлого эцэст нь юу ч хаахгүй эсвэл юу ч хамгаалахгүй байх зам юм.

Практик үр дагавар нь шүүлтүүрийн жагсаалт хаалттай олонлог байдаг. Профайл дээр жагсаалт байгаа үед тухайн интерфэйсээр ямар ч бичлэгт тохирохгүй траффик татгалзагдана, тиймээс DNS, баталгаажуулалтын солилцоо болон аппликейшнд хэрэгтэй аливаа хамаарал өөрийн бичлэгүүдийг шаарддаг. Татгалзалтыг намжаахын тулд нэг өргөн дүрэм нэмэх нь бүх интерфэйсийг дахин нээж, хязгаарлалтыг чимээгүй цуцалдаг. Жагсаалт шаардлага зөвшөөрөх хэмжээнд богино, аппликейшн шаардах хэмжээнд бүрэн байх ёстой.

Шүүлтүүрийн жагсаалтыг бүрэн олонлог болгон байгуул

VPNv2 профайлууд шүүлтүүрийн жагсаалтыг маршрутын жагсаалтаас тусдаа агуулдаг бөгөөд түүний бичлэгүүд нь тушаал бус профайлын шинж чанарууд юм. HTTPS жишээний хувьд бичлэгт 6 протокол, алслагдсан хаяг болон алслагдсан порт хэрэгтэй бөгөөд тэдгээрийг ашиглаж буй профайлын төрөлд зориулж удирдлагын сувгаар эсвэл ProfileXML-ээр байршуулдаг. Microsoft-ын VPNv2 траффикийн шүүлтүүрийн тодорхойлолт нэг дүрмийн доторх нөхцөлүүд нэгддэг бол тусдаа дүрмийн танигчид хувилбар болж үйлчилдэг гэж заасан.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Тухайн жагсаалтын портын утгууд нь алслагдсан үзүүр дэх үйлчилгээний портыг тодорхойлдог бөгөөд локал порт хязгаарлалтгүй байх ёстой, тэгэхгүй бол клиентийн түр зуурын эх порт шүүгдэх болно. Эсрэгээр хийвэл юутай ч тохирохгүй дүрэм, хагас өдөр авдаг оньсого үлддэг.

Маршрут болон шүүлтүүрийг хоёр тусдаа шийдвэр болгон бич. Маршрут энэ серверт туннелээр хүрдэг гэж шийддэг, шүүлтүүр аль үйлчилгээ тухайн замыг ашиглаж болохыг шийддэг.

Хоёр хүсэлтээр хоёр үр дүнг хоёуланг нь нотол

Зөвшөөрөгдсөн урсгал ба татгалзсан урсгалыг тус тусад нь шалгаж, алга болсон хуудас биш бүтэлгүйтлийг унш. Хурдан ирэх татгалзалт бол бодлогын шийдвэр, харин хугацаа дуусах нь алга болсон маршрут эсвэл сонсож амьдрахгүй байгаа үйлчилгээ байх магадлалтай. Доорх тушаалууд хоёр хүсэлтийг гүйцэтгэж, хүчинтэй дүрмүүдийг харуулна.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB шалгалтад хурдан татгалзалт, HTTPS шалгалтад амжилт гарсан нь шүүлтүүр гаргах ёстой байсан үр дүн юм. Хоёр порт дээр татгалзалт гарвал жагсаалтад сессид хэрэгтэй зүйл дутуу байна гэсэн үг, хоёуланд нь хугацаа дуусвал шүүлтүүр биш маршрутлалтыг заана. Хэрэв хамгаалагдсан урсгалууд IPsec-ийн гаралтад аюулгүй байдлын холбоо байхгүй гэж харуулбал холболт амжилттай байсан ч хамгаалалтын шаардлага биелээгүй. Дөрвөн гаралтыг хамт унш, учир нь тус бүр дангаараа өөр түүхийг дэмждэг.

Хүчинтэй профайл, дүрмийн багц болон нөгөө талын бодлогыг үр дүнгийн хамт тэмдэглэ. Хуучин Windows клиентүүдийн талаарх түүхэн нийцлийн тэмдэглэлүүд өнөөгийн удирддаг профайлын боломжууд тодорхой гарц дээр юуг дэмждэгийг тодорхойлдоггүй. Хувилбараас хамаарах зан төлөв нь таамаглалд биш, бүртгэлд хамаарна.

Холбоотой нийтлэлүүд