VPN ट्राफिक फिल्टर की IPsec नियम: Windows पोर्ट कुठे लागू करते

Windows VPN च्या एका वापरकर्त्याने सर्व्हरवरील HTTPS पर्यंत पोहोचले पाहिजे आणि त्याच सर्व्हरवरील SMB पर्यंत नाही, आणि मार्ग ते व्यक्त करू शकत नाही। दोन्ही विनंत्या समान गंतव्य पत्ता घेऊन जातात, म्हणून ट्राफिक बोगद्यात पाठवणारा उपसर्ग तुम्ही वगळू इच्छित असलेला प्रवाहही घेऊन जातो। ते वेगळे करण्यासाठी गंतव्यापेक्षा सूक्ष्म काहीतरी तपासणारा नियम हवा।

दोन वेगळे हेतू दोन वेगळ्या Windows यंत्रणांनी बनवले जातात। ते मिसळल्यास पूर्ण दिसणारे पण तुम्ही हेतू धरलेल्यापैकी निम्मेच लागू करणारे धोरण तयार होते।

एक मार्ग एका पत्त्यावर दोन सेवा वेगळ्या करू शकत नाही

मूळ VPN मार्गनिर्देशन उपसर्गांवर आधारित आहे: कोणती गंतव्ये बोगद्यातून जातात आणि कोणती बाहेर राहतात हे ते ठरवते। एक सबनेट आत आणि दुसरे बाहेर ठेवण्यासाठी हे योग्य साधन आहे, आणि रचनेनुसार ते पोर्टप्रति अंध आहे। VPN प्रोफाइलवरील ट्राफिक फिल्टर दुसरे परिमाण जोडते: तो प्रोटोकॉल, दूरस्थ पत्ता आणि दूरस्थ पोर्ट त्या इंटरफेसला ओलांडू शकणाऱ्याशी जुळवतो। IPsec नियम तिसऱ्या ठिकाणी काम करतो आणि कोणत्या प्रवाहांना संरक्षण हवे आणि कोणासोबत ते प्रमाणित होतात हे व्यक्त करतो। तीनही वेगळ्या प्रश्नांची उत्तरे देतात आणि कोणतेही दुसऱ्याची जागा घेत नाही।

इच्छित वाक्य लिहून सुरुवात करा। फक्त HTTPS ला परवानगी दे हे प्रवेश वाक्य आहे, तर HTTPS साठी IPsec माग हे संरक्षण वाक्य आहे, आणि दोन्ही वेगळ्या संरचनेकडे नेतात।

प्रवेश निर्बंध आणि संरक्षणाची मागणी वेगळे पडतात

प्रवेश निर्बंध सांगतो की इंटरफेसचा वापर काय करू शकते, आणि एका संचाला परवानगी देऊन बाकी सर्व नाकारून तो लागू केला जातो। संरक्षणाची मागणी सांगते की कोणते प्रवाह कूटबद्ध आणि प्रमाणित झाले पाहिजेत, आणि त्यांच्याशी जुळणाऱ्या सुरक्षा संलग्नता वाटाघाटी करून ती लागू केली जाते। पहिले यादीत नसलेले काही असल्यास अडवलेली विनंती निर्माण करते, तर दुसरे आवश्यक संरक्षण घेऊन जाणारे किंवा प्रस्थापित न होणारे जोडणी निर्माण करते। एकाला दुसऱ्यासारखे वागवणे म्हणजे धोरण अखेरीस काहीही अडवत नाही किंवा काहीही संरक्षित करत नाही।

व्यावहारिक परिणाम असा की फिल्टर यादी हा बंद संच आहे। प्रोफाइलवर यादी असल्यावर त्या इंटरफेसवरील कोणत्याही नोंदीशी न जुळणारा ट्राफिक नाकारला जातो, म्हणून DNS, प्रमाणनाची देवघेव आणि अनुप्रयोगाला हवे असलेले कोणतेही अवलंबन यांना स्वतःच्या नोंदी लागतात। नकार शांत करण्यासाठी एक रुंद नियम जोडल्यास संपूर्ण इंटरफेस पुन्हा उघडतो आणि निर्बंध शांतपणे रद्द होतो। यादी मागणी जितकी परवानगी देईल तितकी लहान आणि अनुप्रयोग जितकी मागेल तितकी पूर्ण असावी।

फिल्टर यादी पूर्ण संच म्हणून बांधा

VPNv2 प्रोफाइल मार्ग यादीपासून वेगळी फिल्टर यादी ठेवतात, आणि तिच्या नोंदी आज्ञा नसून प्रोफाइल गुणधर्म आहेत। HTTPS उदाहरणासाठी नोंदीला प्रोटोकॉल 6, दूरस्थ पत्ता आणि दूरस्थ पोर्ट लागतो, जो वापरल्या जाणाऱ्या प्रोफाइल प्रकारासाठी व्यवस्थापन वाहिनी किंवा ProfileXML द्वारे तैनात केला जातो। Microsoft ची VPNv2 ट्राफिक फिल्टरची व्याख्या सांगते की एका नियमातील अटी एकत्र येतात तर वेगळे नियम ओळखकर्ते पर्याय म्हणून काम करतात।

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

त्या यादीतील पोर्ट मूल्ये दूरच्या टोकावरील सेवा पोर्टचे वर्णन करतात, आणि स्थानिक पोर्ट अप्रतिबंधित राहिला पाहिजे जेणेकरून क्लायंटचा क्षणिक स्रोत पोर्ट फिल्टर होणार नाही। उलटे केल्यास कशाशीही न जुळणारा नियम आणि अर्धा दिवस घेणारे कोडे तयार होते।

मार्ग आणि फिल्टर दोन वेगळे निर्णय म्हणून लिहा। मार्ग ठरवतो की या सर्व्हरपर्यंत बोगद्यातून पोहोचतो, आणि फिल्टर ठरवतो की कोणत्या सेवा तो मार्ग वापरू शकतात।

दोन विनंत्यांनी दोन्ही निकाल सिद्ध करा

परवानगी दिलेला प्रवाह आणि नाकारलेला प्रवाह वेगळे तपासा, आणि गहाळ पृष्ठाऐवजी अपयश वाचा। लवकर येणारा नकार हा धोरणाचा निर्णय आहे, तर कालबाह्यता बहुधा गहाळ मार्ग किंवा ऐकत नसलेली सेवा असते। खालील आज्ञा दोन्ही विनंत्या चालवतात आणि अमलात असलेले नियम दाखवतात।

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB चाचणीत झटपट नकार आणि HTTPS चाचणीत यश हा फिल्टरने निर्माण केला पाहिजे असलेला निकाल आहे। दोन्ही पोर्टवर नकार म्हणजे यादीत सत्राला हवे असलेले काहीतरी गहाळ आहे, आणि दोन्हीवर कालबाह्यता फिल्टरिंगऐवजी मार्गनिर्देशनाकडे निर्देश करते। जर संरक्षित प्रवाह IPsec आउटपुटमध्ये कोणतीही सुरक्षा संलग्नता नाही दाखवत असतील, तर जोडणी यशस्वी झाली तरी संरक्षणाची मागणी पूर्ण होत नाही। चारही आउटपुट एकत्र वाचा, कारण प्रत्येक एकटे वेगळी कथा पुरवते।

निकालांसोबत अमलात असलेले प्रोफाइल, नियम संच आणि समोरच्या बाजूचे धोरण नोंदवा। जुन्या Windows क्लायंटबद्दलच्या ऐतिहासिक सुसंगतता टिपा आजची व्यवस्थापित प्रोफाइल वैशिष्ट्ये विशिष्ट गेटवेवर काय समर्थित करतात हे सांगत नाहीत। आवृत्तीनुसारचे वर्तन गृहीतात नाही, नोंदीत असावे।