Penapis trafik VPN atau peraturan IPsec: di mana Windows menguatkuasakan port

Seorang pengguna VPN Windows harus mencapai HTTPS pada pelayan dan bukan SMB pada pelayan yang sama, dan laluan tidak dapat menyatakan perkara itu. Kedua-dua permintaan membawa alamat destinasi yang sama, jadi awalan yang menghantar trafik ke terowong juga membawa aliran yang anda mahu kecualikan. Memisahkan keduanya memerlukan peraturan yang memeriksa sesuatu yang lebih halus daripada destinasi.

Dua niat berbeza dibina dengan dua mekanisme Windows yang berbeza. Mencampurkannya menghasilkan dasar yang kelihatan lengkap sambil hanya menguatkuasakan separuh daripada apa yang anda maksudkan.

Laluan tidak boleh memisahkan dua perkhidmatan pada satu alamat

Penghalaan VPN asli berasaskan awalan: ia menentukan destinasi mana yang melalui terowong dan mana yang kekal di luar. Itulah alat yang betul untuk mengekalkan satu subnet di dalam dan satu lagi di luar, dan secara pembinaan ia buta kepada port. Penapis trafik pada profil VPN menambah dimensi kedua: ia memadankan protokol, alamat jauh dan port jauh dengan apa yang boleh merentas antara muka itu. Peraturan IPsec berfungsi di tempat ketiga dan menyatakan aliran mana yang memerlukan perlindungan dan dengan siapa ia mengesahkan. Ketiga-tiganya menjawab soalan berbeza dan tiada satu menggantikan yang lain.

Mulakan dengan menulis ayat yang dimaksudkan. Benarkan HTTPS sahaja ialah ayat akses, manakala wajibkan IPsec untuk HTTPS ialah ayat perlindungan, dan kedua-duanya membawa kepada konfigurasi berbeza.

Sekatan akses dan keperluan perlindungan menyimpang

Sekatan akses menyatakan apa yang boleh menggunakan antara muka, dan ia dikuatkuasakan dengan membenarkan satu set dan menolak segala yang lain. Keperluan perlindungan menyatakan aliran mana yang mesti disulitkan dan disahkan, dan ia dikuatkuasakan dengan merundingkan persatuan keselamatan yang sepadan dengannya. Yang pertama menghasilkan permintaan yang disekat apabila sesuatu tiada dalam senarai, manakala yang kedua menghasilkan sambungan yang sama ada membawa perlindungan yang dikehendaki atau gagal terbentuk. Menganggap satu sebagai yang lain ialah cara dasar akhirnya tidak menyekat apa-apa atau tidak melindungi apa-apa.

Akibat praktikalnya ialah senarai penapis ialah set tertutup. Sebaik sahaja senarai wujud pada profil, trafik merentas antara muka itu yang tidak sepadan dengan mana-mana entri ditolak, jadi DNS, pertukaran pengesahan dan sebarang kebergantungan yang diperlukan aplikasi memerlukan entri mereka sendiri. Menambah satu peraturan luas untuk mendiamkan penolakan membuka semula seluruh antara muka dan membatalkan sekatan secara senyap. Senarai itu harus sesingkat yang dibenarkan keperluan dan selengkap yang dituntut aplikasi.

Bina senarai penapis sebagai set lengkap

Profil VPNv2 membawa senarai penapis secara berasingan daripada senarai laluan, dan entrinya ialah sifat profil, bukan arahan. Untuk contoh HTTPS entri itu memerlukan protokol 6, alamat jauh dan port jauh, yang digunakan melalui saluran pengurusan atau ProfileXML untuk jenis profil yang digunakan. Definisi penapis trafik VPNv2 Microsoft menyatakan bahawa syarat dalam satu peraturan bergabung manakala pengecam peraturan berasingan bertindak sebagai alternatif.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Nilai port dalam senarai itu menerangkan port perkhidmatan di hujung jauh, dan port tempatan harus kekal tanpa had supaya port sumber sementara klien tidak ditapis keluar. Melakukannya secara terbalik menghasilkan peraturan yang tidak sepadan dengan apa-apa dan teka-teki yang mengambil masa satu petang.

Tulis laluan dan penapis sebagai dua keputusan berasingan. Laluan menentukan bahawa pelayan ini dicapai melalui terowong, dan penapis menentukan perkhidmatan mana yang boleh menggunakan laluan itu.

Buktikan kedua-dua hasil dengan dua permintaan

Uji aliran yang dibenarkan dan aliran yang ditolak secara berasingan, dan baca kegagalan dan bukan halaman yang hilang. Penolakan yang datang cepat ialah keputusan dasar, manakala tamat masa lebih mungkin laluan yang hilang atau perkhidmatan yang tidak mendengar. Arahan di bawah menjalankan kedua-dua permintaan dan menunjukkan peraturan yang berkuat kuasa.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Penolakan cepat dalam ujian SMB dengan ujian HTTPS yang berjaya ialah hasil yang sepatutnya dihasilkan penapis. Penolakan pada kedua-dua port bermakna senarai itu kekurangan sesuatu yang diperlukan sesi, dan tamat masa pada kedua-duanya menunjuk kepada penghalaan dan bukan penapisan. Jika aliran yang dilindungi menunjukkan tiada persatuan keselamatan dalam output IPsec, keperluan perlindungan tidak dipenuhi walaupun sambungan berjaya. Baca keempat-empat output bersama-sama, kerana setiap satu sahaja menyokong cerita yang berbeza.

Rekodkan profil berkesan, set peraturan dan dasar pihak lawan bersama hasilnya. Nota keserasian sejarah tentang klien Windows lama tidak menerangkan apa yang disokong ciri profil terurus hari ini pada get laluan tertentu. Tingkah laku khusus versi tergolong dalam rekod, bukan dalam andaian.