VPN-trafikkfilter eller IPsec-regel: kvar Windows handhevar ein port

Éin Windows VPN-brukar skal nå HTTPS på ein tenar og ikkje SMB på same tenaren, og ei rute kan ikkje uttrykke det. Begge førespurnadene ber same destinasjonsadresse, så prefikset som sender trafikk inn i tunnelen ber òg flyten du ville utelukke. Å skilje dei krev ein regel som granskar noko finare enn destinasjonen.

To ulike intensjonar vert bygde med to ulike Windows-mekanismar. Å blande dei gjev ein politikk som ser fullstendig ut medan han handhevar halvparten av det du meinte.

Ei rute kan ikkje skilje to tenester på éi adresse

Innebygd VPN-ruting er prefiksbasert: ho avgjer kva destinasjonar som går gjennom tunnelen og kva som blir utanfor. Det er rett verktøy for å halde eitt subnett innanfor og eit anna utanfor, og ho er blind for portar av konstruksjon. Eit trafikkfilter på VPN-profilen legg til ein andre dimensjon: det matchar protokoll, fjernadresse og fjernport for det som kan krysse grensesnittet. Ein IPsec-regel arbeider på ein tredje stad og uttrykkjer kva flytar som krev vern og med kven dei autentiserer. Dei tre svarar på ulike spørsmål, og ingen erstattar dei andre.

Byrja med å skrive den tiltenkte setninga. Tillat berre HTTPS er ei tilgangssetning, medan krev IPsec for HTTPS er ei vernsetning, og dei to fører til ulik konfigurasjon.

Tilgangsavgrensing og vernskrav går kvar sin veg

Ei tilgangsavgrensing seier kva som kan bruke grensesnittet, og ho vert handheva ved å tillate eit sett og avvise alt anna. Eit vernskrav seier kva flytar som må krypterast og autentiserast, og det vert handheva ved å forhandle sikkerheitssamband som passar dei. Det første gjev ein blokkert førespurnad når noko ikkje står på lista, medan det andre gjev ei tilkopling som anten ber det påkravde vernet eller ikkje vert oppretta. Å handsame det eine som det andre er korleis ein politikk endar med å ikkje blokkere noko eller ikkje verne noko.

Den praktiske følgja er at ei filterliste er eit lukka sett. Når ei liste finst på profilen, vert trafikk over grensesnittet som ikkje matchar noka oppføring avvist, så DNS, autentiseringsutvekslingar og kvar einaste avhengnad applikasjonen treng krev eigne oppføringar. Å leggje til éin brei regel for å dempe avvisingane opnar heile grensesnittet att og opphevar avgrensinga i det stille. Lista bør vere så kort som kravet tillèt og så fullstendig som applikasjonen krev.

Bygg filterlista som eit fullstendig sett

VPNv2-profilar ber filterlista skilt frå rutelista, og oppføringane er profileigenskapar framfor kommandoar. For HTTPS-dømet treng oppføringa protokoll 6, fjernadressa og fjernporten, utrulla via administrasjonskanalen eller ProfileXML for profiltypen som vert brukt. Microsofts definisjon av VPNv2-trafikkfilter slår fast at vilkår innanfor éin regel vert kombinerte medan særskilde regelidentifikatorar verkar som alternativ.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Portverdiane i lista skildrar tenesteporten i den fjerne enden, og den lokale porten bør halde fram som ubegrensa slik at den efemere kjeldeporten til klienten ikkje vert filtrert bort. Å gjere det motsette gjev ein regel som ikkje matchar noko, og eit puslespel som tek ein ettermiddag.

Skriv ruta og filteret som to særskilde avgjerder. Ruta avgjer at denne tenaren vert nådd gjennom tunnelen, og filteret avgjer kva tenester som kan bruke den vegen.

Prov begge utfalla med to førespurnader

Test den tillatne flyten og den avviste flyten kvar for seg, og les feilen i staden for den manglande sida. Ei avvising som kjem raskt er ei politikkgjerd, medan ein tidsavbrot meir truleg er ei manglande rute eller ei teneste som ikkje lyttar. Kommandoane nedanfor køyrer begge førespurnadene og viser reglane som gjeld.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Ei rask avvising i SMB-testen med ein vellukka HTTPS-test er utfallet filteret skulle gje. Avvising på begge portar betyr at lista manglar noko økta treng, og tidsavbrot på begge peikar på ruting framfor filtrering. Viss dei verna flytane viser ingen sikkerheitssamband i IPsec-utdata, er vernskravet ikkje oppfylt sjølv når tilkoplinga lukkast. Les alle fire utdata saman, fordi kvart eitt åleine støttar ei anna historie.

Registrer den gjeldande profilen, regelsettet og politikken til motparten saman med resultata. Historiske kompatibilitetsnotat om eldre Windows-klientar skildrar ikkje kva dagens administrerte profilfunksjonar støttar på ein bestemd gateway. Versjonsspesifikk åtferd høyrer til i registreringa, ikkje i antekinga.