Filtru tat-traffiku VPN jew regola IPsec: fejn Windows tinforza port

Rotta tara destinazzjoni, mhux servizz. Iddeċiedi jekk għandekx bżonn filtru ta' aċċess fuq il-profil VPN jew regola IPsec li titlob protezzjoni għall-fluss.

Utent wieħed ta' VPN fuq Windows għandu jilħaq HTTPS fuq server u mhux SMB fuq l-istess server, u rotta ma tistax tesprimi dan. Iż-żewġ talbiet iġorru l-istess indirizz tad-destinazzjoni, għalhekk il-prefiss li jibgħat it-traffiku fil-mina jġorr ukoll il-fluss li ridt teskludi. Biex tifridhom hemm bżonn regola li teżamina xi ħaġa aktar fina mid-destinazzjoni.

Żewġ intenzjonijiet differenti jinbnew b'żewġ mekkaniżmi differenti ta' Windows. Li tħallathom jagħti politika li tidher sħiħa filwaqt li tinforza nofs dak li ħsibt.

Rotta ma tistax tifred żewġ servizzi fuq indirizz wieħed

Ir-rotta nattiva tal-VPN hija bbażata fuq prefissi: tiddeċiedi liema destinazzjonijiet jgħaddu mill-mina u liema jibqgħu barra. Dan huwa l-għodda t-tajba biex iżżomm subnet ġewwa u oħra barra, u bil-kostruzzjoni tagħha hija għamja għall-portijiet. Filtru tat-traffiku fuq il-profil VPN iżid it-tieni dimensjoni: jaqbel il-protokoll, l-indirizz remot u l-port remot ma' dak li jista' jaqsam dak l-interface. Regola IPsec taħdem fit-tielet post u tesprimi liema flussi jeħtieġu protezzjoni u ma' min jawtentikaw. It-tlieta jwieġbu mistoqsijiet differenti u ħadd ma jieħu post l-ieħor.

Ibda billi tikteb is-sentenza maħsuba. Ħalli biss HTTPS hija sentenza ta' aċċess, filwaqt li titlob IPsec għal HTTPS hija sentenza ta' protezzjoni, u t-tnejn iwasslu għal konfigurazzjoni differenti.

Ir-restrizzjoni tal-aċċess u l-ħtieġa ta' protezzjoni jinfirdu

Restrizzjoni tal-aċċess tgħid x'jista' juża l-interface, u tiġi infurzata billi tippermetti sett u tirrifjuta kull ħaġa oħra. Ħtieġa ta' protezzjoni tgħid liema flussi għandhom ikunu kriptati u awtentikati, u tiġi infurzata billi jiġu nnegozjati assoċjazzjonijiet ta' sigurtà li jaqblu magħhom. L-ewwel tagħti talba mblukkata meta xi ħaġa mhix fil-lista, filwaqt li t-tieni tagħti konnessjoni li jew iġġorr il-protezzjoni meħtieġa jew ma tiġix stabbilita. Li tittratta waħda bħall-oħra huwa kif politika tispiċċa ma timblokka xejn jew ma tipproteġi xejn.

Il-konsegwenza prattika hija li lista ta' filtri hija sett magħluq. Ladarba tkun teżisti lista fuq il-profil, it-traffiku fuq dak l-interface li ma jaqbel ma' ebda entrata jiġi rrifjutat, għalhekk DNS, l-iskambji ta' awtentikazzjoni u kull dipendenza li teħtieġ l-applikazzjoni jeħtieġu l-entrati tagħhom. Li żżid regola waħda wiesgħa biex issikket ir-rifjuti terġa' tiftaħ l-interface kollu u tannulla r-restrizzjoni bil-kwiet. Il-lista għandha tkun qasira kemm tippermetti l-ħtieġa u kompluta kemm titlob l-applikazzjoni.

Ibni l-lista tal-filtri bħala sett komplet

Il-profili VPNv2 iġorru l-lista tal-filtri b'mod separat mil-lista tar-rotot, u l-entrati tagħha huma proprjetajiet tal-profil u mhux kmandi. Għall-eżempju HTTPS l-entrata teħtieġ il-protokoll 6, l-indirizz remot u l-port remot, imqiegħda permezz tal-kanal tal-ġestjoni jew ProfileXML għat-tip ta' profil li jintuża. Id-definizzjoni tal-filtru tat-traffiku VPNv2 ta' Microsoft tgħid li l-kundizzjonijiet ġewwa regola waħda jiġu kkombinati filwaqt li identifikaturi ta' regoli separati jaġixxu bħala alternattivi.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Il-valuri tal-port f'dik il-lista jiddeskrivu l-port tas-servizz fit-tarf imbiegħed, u l-port lokali għandu jibqa' bla restrizzjonijiet biex il-port tas-sors temporanju tal-klijent ma jiġix iffiltrat. Li tagħmel dan bil-maqlub jagħti regola li ma taqbel ma' xejn u taħbila li tieħu nofs jum.

Ikteb ir-rotta u l-filtru bħala żewġ deċiżjonijiet separati. Ir-rotta tiddeċiedi li dan is-server jintlaħaq mill-mina, u l-filtru jiddeċiedi liema servizzi jistgħu jużaw dak il-mogħdija.

Ipprova ż-żewġ riżultati b'żewġ talbiet

Ittestja l-fluss permess u l-fluss miċħud b'mod separat, u aqra l-falliment minflok il-paġna nieqsa. Rifjut li jiġi malajr huwa deċiżjoni ta' politika, filwaqt li timeout x'aktarx huwa rotta nieqsa jew servizz li mhux qed jisma'. Il-kmandi hawn taħt iwettqu ż-żewġ talbiet u juru r-regoli fis-seħħ.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Rifjut malajr fit-test SMB ma' test HTTPS ta' suċċess huwa r-riżultat li l-filtru kellu jipproduċi. Rifjut fuq iż-żewġ ports ifisser li l-lista nieqsa minn xi ħaġa li s-sessjoni teħtieġ, u timeout fuq it-tnejn jindika r-rotta aktar milli l-filtrazzjoni. Jekk il-flussi protetti juru ebda assoċjazzjoni ta' sigurtà fl-output tal-IPsec, il-ħtieġa ta' protezzjoni mhix sodisfatta anki meta l-konnessjoni tirnexxi. Aqra l-erba' outputs flimkien, għax kull wieħed waħdu jsostni storja differenti.

Irreġistra l-profil effettiv, is-sett ta' regoli u l-politika tal-parti l-oħra flimkien mar-riżultati. Noti storiċi ta' kompatibilità dwar klijenti Windows eqdem ma jiddeskrivux x'jappoġġjaw il-karatteristiċi tal-profil ġestit tal-lum fuq gateway partikolari. Imġieba speċifika għall-verżjoni tappartjeni għar-reġistru, mhux għall-assunzjoni.

Artikli relatati