VPN ट्राफिक फिल्टर वा IPsec नियम: Windows ले पोर्ट कहाँ लागू गर्छ

Windows VPN को एक प्रयोगकर्ताले सर्भरमा HTTPS मा पुग्नुपर्छ र त्यही सर्भरमा SMB मा पुग्नु हुँदैन, र रुटले त्यो व्यक्त गर्न सक्दैन। दुवै अनुरोधले एउटै गन्तव्य ठेगाना बोक्छन्, त्यसैले ट्राफिक सुरुङमा पठाउने प्रिफिक्सले तपाईंले बाहिर राख्न चाहेको प्रवाह पनि बोक्छ। तिनलाई अलग गर्न गन्तव्यभन्दा सूक्ष्म कुरा जाँच्ने नियम चाहिन्छ।

दुई फरक उद्देश्य दुई फरक Windows संयन्त्रले बन्छन्। तिनलाई मिसाउँदा पूर्ण देखिने तर तपाईंले सोचेको आधा मात्र लागू गर्ने नीति बन्छ।

एउटा रुटले एउटै ठेगानामा दुई सेवा अलग गर्न सक्दैन

मूल VPN रुटिङ प्रिफिक्समा आधारित छ: कुन गन्तव्य सुरुङबाट जान्छन् र कुन बाहिर रहन्छन् भन्ने यसले निर्णय गर्छ। एउटा सबनेट भित्र र अर्को बाहिर राख्न यो उपयुक्त साधन हो, र बनावटअनुसार यो पोर्टप्रति अन्धो छ। VPN प्रोफाइलको ट्राफिक फिल्टरले दोस्रो आयाम थप्छ: यसले प्रोटोकल, टाढाको ठेगाना र टाढाको पोर्ट लाई त्यो इन्टरफेस पार गर्न सक्नेसँग मिलाउँछ। IPsec नियम तेस्रो ठाउँमा काम गर्छ र कुन प्रवाहलाई सुरक्षा चाहिन्छ र कससँग प्रमाणीकरण हुन्छ भन्ने व्यक्त गर्छ। तीनवटै फरक प्रश्नको जवाफ दिन्छन् र कुनैले अरूको ठाउँ लिँदैन।

इच्छित वाक्य लेखेर सुरु गर्नुहोस्। HTTPS मात्र अनुमति दे भन्ने पहुँच वाक्य हो, जबकि HTTPS का लागि IPsec माग भन्ने सुरक्षा वाक्य हो, र दुवै फरक कन्फिगरेसनमा पुर्याउँछन्।

पहुँच प्रतिबन्ध र सुरक्षा माग फरक दिशामा जान्छन्

पहुँच प्रतिबन्धले इन्टरफेस केले प्रयोग गर्न सक्छ भन्ने बताउँछ, र एउटा समूहलाई अनुमति दिएर बाँकी सबै अस्वीकार गरेर लागू गरिन्छ। सुरक्षा मागले कुन प्रवाह इन्क्रिप्ट र प्रमाणित हुनुपर्छ भन्ने बताउँछ, र तिनसँग मिल्ने सुरक्षा संबद्धतामा वार्ता गरेर लागू गरिन्छ। पहिलोले सूचीमा नभएको कुरा हुँदा अवरुद्ध अनुरोध बनाउँछ, दोस्रोले आवश्यक सुरक्षा बोक्ने वा स्थापित नहुने जडान बनाउँछ। एउटालाई अर्को जस्तै व्यवहार गर्नु भनेको नीति अन्ततः केही पनि अवरुद्ध वा सुरक्षित नगर्ने बाटो हो।

व्यावहारिक परिणाम यो हो कि फिल्टर सूची बन्द समूह हो। प्रोफाइलमा सूची भएपछि त्यो इन्टरफेसमा कुनै पनि प्रविष्टिसँग नमिल्ने ट्राफिक अस्वीकार गरिन्छ, त्यसैले DNS, प्रमाणीकरणको आदानप्रदान र अनुप्रयोगलाई चाहिने जुनसुकै निर्भरतालाई आफ्नै प्रविष्टि चाहिन्छ। अस्वीकृतिलाई शान्त पार्न एउटा फराकिलो नियम थप्दा पूरै इन्टरफेस फेरि खुल्छ र प्रतिबन्ध चुपचाप रद्द हुन्छ। सूची मागले अनुमति दिने जति छोटो र अनुप्रयोगले माग्ने जति पूर्ण हुनुपर्छ।

फिल्टर सूचीलाई पूर्ण समूहका रूपमा बनाउनुहोस्

VPNv2 प्रोफाइलले रुट सूचीबाट अलगै फिल्टर सूची बोक्छन्, र त्यसका प्रविष्टि आदेश होइनन्, प्रोफाइल गुण हुन्। HTTPS उदाहरणका लागि प्रविष्टिलाई प्रोटोकल 6, टाढाको ठेगाना र टाढाको पोर्ट चाहिन्छ, जो प्रयोग हुने प्रोफाइल प्रकारका लागि व्यवस्थापन च्यानल वा ProfileXML मार्फत तैनाथ गरिन्छ। Microsoft को VPNv2 ट्राफिक फिल्टरको परिभाषा भन्छ कि एउटै नियमभित्रका सर्तहरू मिल्छन् जबकि अलग नियम पहिचानकर्ता विकल्पका रूपमा काम गर्छन्।

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

त्यो सूचीका पोर्ट मानले टाढाको छेउमा सेवा पोर्ट वर्णन गर्छन्, र स्थानीय पोर्ट अप्रतिबन्धित रहनुपर्छ ताकि क्लाइन्टको क्षणिक स्रोत पोर्ट फिल्टर नहोस्। उल्टो गर्दा कसैसँग नमिल्ने नियम र आधा दिन लिने पहेली बन्छ।

रुट र फिल्टरलाई दुई अलग निर्णयका रूपमा लेख्नुहोस्। रुटले यो सर्भरमा सुरुङबाट पुगिन्छ भन्ने निर्णय गर्छ, र फिल्टरले कुन सेवाले त्यो बाटो प्रयोग गर्न सक्छ भन्ने निर्णय गर्छ।

दुई अनुरोधले दुवै परिणाम प्रमाणित गर्नुहोस्

अनुमति दिइएको प्रवाह र अस्वीकृत प्रवाह अलग-अलग परीक्षण गर्नुहोस्, र हराएको पृष्ठको सट्टा असफलता पढ्नुहोस्। चाँडै आउने अस्वीकृति नीति निर्णय हो, जबकि समय सकिनु बढी सम्भवतः हराएको रुट वा नसुन्ने सेवा हो। तलका आदेशले दुवै अनुरोध चलाउँछन् र लागू नियम देखाउँछन्।

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB परीक्षणमा छिटो अस्वीकृति र HTTPS परीक्षणमा सफलता त्यही परिणाम हो जो फिल्टरले दिनुपर्थ्यो। दुवै पोर्टमा अस्वीकृति भन्नु सूचीमा सत्रलाई चाहिने केही छुटेको हो, र दुवैमा समय सकिनु फिल्टरिङ होइन रुटिङतर्फ संकेत गर्छ। यदि सुरक्षित प्रवाहले IPsec आउटपुटमा कुनै सुरक्षा संबद्धता छैन देखाउँछन् भने जडान सफल भए पनि सुरक्षा माग पूरा हुँदैन। चारै आउटपुट सँगै पढ्नुहोस्, किनकि हरेकले एक्लै फरक कथा समर्थन गर्छ।

परिणामसँगै लागू प्रोफाइल, नियम समूह र अर्को पक्षको नीति अभिलेख गर्नुहोस्। पुराना Windows क्लाइन्टबारे ऐतिहासिक अनुकूलता टिप्पणीले आजका व्यवस्थापित प्रोफाइल सुविधाले कुनै निश्चित गेटवेमा के समर्थन गर्छ भन्ने बताउँदैन। संस्करण-विशेष व्यवहार अनुमानमा होइन, अभिलेखमा हुनुपर्छ।