VPN ਟ੍ਰੈਫਿਕ ਫਿਲਟਰ ਜਾਂ IPsec ਨਿਯਮ: Windows ਪੋਰਟ ਕਿੱਥੇ ਲਾਗੂ ਕਰਦਾ ਹੈ

ਇੱਕ Windows VPN ਵਰਤੋਂਕਾਰ ਨੂੰ ਸਰਵਰ 'ਤੇ HTTPS ਤੱਕ ਪਹੁੰਚਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਉਸੇ ਸਰਵਰ 'ਤੇ SMB ਤੱਕ ਨਹੀਂ, ਅਤੇ ਰੂਟ ਇਹ ਨਹੀਂ ਦੱਸ ਸਕਦਾ। ਦੋਵੇਂ ਬੇਨਤੀਆਂ ਇੱਕੋ ਮੰਜ਼ਿਲ ਪਤਾ ਲੈ ਕੇ ਚੱਲਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਜੋ ਪ੍ਰੀਫਿਕਸ ਟ੍ਰੈਫਿਕ ਨੂੰ ਟਨਲ ਵਿੱਚ ਭੇਜਦਾ ਹੈ ਉਹ ਉਸ ਪ੍ਰਵਾਹ ਨੂੰ ਵੀ ਲੈ ਜਾਂਦਾ ਹੈ ਜਿਸਨੂੰ ਤੁਸੀਂ ਬਾਹਰ ਰੱਖਣਾ ਚਾਹੁੰਦੇ ਸੀ। ਇਹਨਾਂ ਨੂੰ ਵੱਖ ਕਰਨ ਲਈ ਐਸਾ ਨਿਯਮ ਚਾਹੀਦਾ ਹੈ ਜੋ ਮੰਜ਼ਿਲ ਤੋਂ ਵੱਧ ਬਾਰੀਕ ਚੀਜ਼ ਦੀ ਜਾਂਚ ਕਰੇ।

ਦੋ ਵੱਖਰੇ ਇਰਾਦੇ ਦੋ ਵੱਖਰੇ Windows ਤੰਤਰਾਂ ਨਾਲ ਬਣਦੇ ਹਨ। ਇਹਨਾਂ ਨੂੰ ਮਿਲਾਉਣ ਨਾਲ ਐਸੀ ਨੀਤੀ ਬਣਦੀ ਹੈ ਜੋ ਪੂਰੀ ਦਿਸਦੀ ਹੈ ਪਰ ਤੁਹਾਡੇ ਇਰਾਦੇ ਦਾ ਅੱਧਾ ਹਿੱਸਾ ਹੀ ਲਾਗੂ ਕਰਦੀ ਹੈ।

ਇੱਕ ਰੂਟ ਇੱਕ ਪਤੇ 'ਤੇ ਦੋ ਸੇਵਾਵਾਂ ਵੱਖ ਨਹੀਂ ਕਰ ਸਕਦਾ

ਮੂਲ VPN ਰੂਟਿੰਗ ਪ੍ਰੀਫਿਕਸ ਆਧਾਰਿਤ ਹੈ: ਇਹ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਮੰਜ਼ਿਲਾਂ ਟਨਲ ਵਿੱਚੋਂ ਲੰਘਦੀਆਂ ਹਨ ਅਤੇ ਕਿਹੜੀਆਂ ਬਾਹਰ ਰਹਿੰਦੀਆਂ ਹਨ। ਇੱਕ ਸਬਨੈੱਟ ਅੰਦਰ ਅਤੇ ਦੂਜਾ ਬਾਹਰ ਰੱਖਣ ਲਈ ਇਹ ਸਹੀ ਸਾਧਨ ਹੈ, ਅਤੇ ਰਚਨਾ ਅਨੁਸਾਰ ਇਹ ਪੋਰਟਾਂ ਪ੍ਰਤੀ ਅੰਨ੍ਹੀ ਹੈ। VPN ਪ੍ਰੋਫਾਈਲ 'ਤੇ ਟ੍ਰੈਫਿਕ ਫਿਲਟਰ ਦੂਜਾ ਆਯਾਮ ਜੋੜਦਾ ਹੈ: ਇਹ ਪ੍ਰੋਟੋਕੋਲ, ਦੂਰਸਥ ਪਤਾ ਅਤੇ ਦੂਰਸਥ ਪੋਰਟ ਨੂੰ ਉਸ ਚੀਜ਼ ਨਾਲ ਮਿਲਾਉਂਦਾ ਹੈ ਜੋ ਉਸ ਇੰਟਰਫੇਸ ਨੂੰ ਪਾਰ ਕਰ ਸਕਦੀ ਹੈ। IPsec ਨਿਯਮ ਤੀਜੀ ਥਾਂ 'ਤੇ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਦੱਸਦਾ ਹੈ ਕਿ ਕਿਹੜੇ ਪ੍ਰਵਾਹ ਸੁਰੱਖਿਆ ਮੰਗਦੇ ਹਨ ਅਤੇ ਕਿਸ ਨਾਲ ਉਹ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੇ ਹਨ। ਤਿੰਨੇ ਵੱਖਰੇ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦਿੰਦੇ ਹਨ ਅਤੇ ਕੋਈ ਵੀ ਦੂਜੇ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦਾ।

ਚਾਹੀ ਹੋਈ ਵਾਕ ਲਿਖ ਕੇ ਸ਼ੁਰੂ ਕਰੋ। ਸਿਰਫ਼ HTTPS ਦੀ ਆਗਿਆ ਦੇ ਇੱਕ ਐਕਸੈਸ ਵਾਕ ਹੈ, ਜਦਕਿ HTTPS ਲਈ IPsec ਮੰਗ ਇੱਕ ਸੁਰੱਖਿਆ ਵਾਕ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਵੱਖਰੀ ਸੰਰਚਨਾ ਵੱਲ ਲੈ ਜਾਂਦੇ ਹਨ।

ਐਕਸੈਸ ਪਾਬੰਦੀ ਅਤੇ ਸੁਰੱਖਿਆ ਦੀ ਮੰਗ ਵੱਖਰੇ ਰਾਹ ਚੱਲਦੇ ਹਨ

ਐਕਸੈਸ ਪਾਬੰਦੀ ਦੱਸਦੀ ਹੈ ਕਿ ਇੰਟਰਫੇਸ ਦੀ ਵਰਤੋਂ ਕੀ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਇੱਕ ਸਮੂਹ ਨੂੰ ਆਗਿਆ ਦੇ ਕੇ ਬਾਕੀ ਸਭ ਨੂੰ ਨਾਂਹ ਕਰਕੇ ਲਾਗੂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਸੁਰੱਖਿਆ ਦੀ ਮੰਗ ਦੱਸਦੀ ਹੈ ਕਿ ਕਿਹੜੇ ਪ੍ਰਵਾਹ ਇਨਕ੍ਰਿਪਟ ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਅਤੇ ਉਹਨਾਂ ਨਾਲ ਮੇਲ ਖਾਂਦੀਆਂ ਸੁਰੱਖਿਆ ਸਾਂਝਾਂ 'ਤੇ ਗੱਲਬਾਤ ਕਰਕੇ ਲਾਗੂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਪਹਿਲੀ ਸੂਚੀ ਵਿੱਚ ਕੁਝ ਨਾ ਹੋਣ 'ਤੇ ਰੋਕੀ ਹੋਈ ਬੇਨਤੀ ਬਣਾਉਂਦੀ ਹੈ, ਜਦਕਿ ਦੂਜੀ ਐਸਾ ਜੋੜ ਬਣਾਉਂਦੀ ਹੈ ਜੋ ਜਾਂ ਤਾਂ ਮੰਗੀ ਸੁਰੱਖਿਆ ਲੈ ਕੇ ਚੱਲਦਾ ਹੈ ਜਾਂ ਸਥਾਪਿਤ ਹੀ ਨਹੀਂ ਹੁੰਦਾ। ਇੱਕ ਨੂੰ ਦੂਜੇ ਵਾਂਗ ਸਮਝਣਾ ਉਹੀ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਨੀਤੀ ਅੰਤ ਵਿੱਚ ਕੁਝ ਵੀ ਨਹੀਂ ਰੋਕਦੀ ਜਾਂ ਕੁਝ ਵੀ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਕਰਦੀ।

ਵਿਹਾਰਕ ਨਤੀਜਾ ਇਹ ਹੈ ਕਿ ਫਿਲਟਰ ਸੂਚੀ ਇੱਕ ਬੰਦ ਸਮੂਹ ਹੈ। ਪ੍ਰੋਫਾਈਲ 'ਤੇ ਸੂਚੀ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਉਸ ਇੰਟਰਫੇਸ 'ਤੇ ਉਹ ਟ੍ਰੈਫਿਕ ਨਾਂਹ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਕਿਸੇ ਵੀ ਐਂਟਰੀ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ, ਇਸ ਲਈ DNS, ਪ੍ਰਮਾਣੀਕਰਨ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਲੋੜੀਂਦੀ ਕੋਈ ਵੀ ਨਿਰਭਰਤਾ ਆਪਣੀਆਂ ਐਂਟਰੀਆਂ ਮੰਗਦੀ ਹੈ। ਨਾਂਹ ਨੂੰ ਚੁੱਪ ਕਰਾਉਣ ਲਈ ਇੱਕ ਚੌੜਾ ਨਿਯਮ ਜੋੜਨ ਨਾਲ ਪੂਰਾ ਇੰਟਰਫੇਸ ਮੁੜ ਖੁੱਲ੍ਹ ਜਾਂਦਾ ਹੈ ਅਤੇ ਪਾਬੰਦੀ ਚੁੱਪਚਾਪ ਰੱਦ ਹੋ ਜਾਂਦੀ ਹੈ। ਸੂਚੀ ਮੰਗ ਜਿੰਨੀ ਆਗਿਆ ਦੇਵੇ ਓਨੀ ਛੋਟੀ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਜਿੰਨੀ ਮੰਗੇ ਓਨੀ ਪੂਰੀ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ।

ਫਿਲਟਰ ਸੂਚੀ ਨੂੰ ਪੂਰਾ ਸਮੂਹ ਬਣਾਓ

VPNv2 ਪ੍ਰੋਫਾਈਲ ਰੂਟ ਸੂਚੀ ਤੋਂ ਵੱਖਰੀ ਫਿਲਟਰ ਸੂਚੀ ਰੱਖਦੇ ਹਨ, ਅਤੇ ਉਸਦੀਆਂ ਐਂਟਰੀਆਂ ਆਦੇਸ਼ ਨਹੀਂ ਸਗੋਂ ਪ੍ਰੋਫਾਈਲ ਗੁਣ ਹਨ। HTTPS ਉਦਾਹਰਨ ਲਈ ਐਂਟਰੀ ਨੂੰ ਪ੍ਰੋਟੋਕੋਲ 6, ਦੂਰਸਥ ਪਤਾ ਅਤੇ ਦੂਰਸਥ ਪੋਰਟ ਚਾਹੀਦਾ ਹੈ, ਜੋ ਵਰਤੇ ਜਾ ਰਹੇ ਪ੍ਰੋਫਾਈਲ ਕਿਸਮ ਲਈ ਪ੍ਰਬੰਧਨ ਚੈਨਲ ਜਾਂ ProfileXML ਰਾਹੀਂ ਤੈਨਾਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। Microsoft ਦੀ VPNv2 ਟ੍ਰੈਫਿਕ ਫਿਲਟਰ ਦੀ ਪਰਿਭਾਸ਼ਾ ਕਹਿੰਦੀ ਹੈ ਕਿ ਇੱਕ ਨਿਯਮ ਅੰਦਰ ਦੀਆਂ ਸ਼ਰਤਾਂ ਮਿਲਦੀਆਂ ਹਨ ਜਦਕਿ ਵੱਖਰੇ ਨਿਯਮ ਪਛਾਣਕਰਤਾ ਬਦਲ ਵਜੋਂ ਕੰਮ ਕਰਦੇ ਹਨ।

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

ਉਸ ਸੂਚੀ ਵਿੱਚ ਪੋਰਟ ਮੁੱਲ ਦੂਰਲੇ ਸਿਰੇ 'ਤੇ ਸੇਵਾ ਪੋਰਟ ਦਾ ਵਰਣਨ ਕਰਦੇ ਹਨ, ਅਤੇ ਸਥਾਨਕ ਪੋਰਟ ਬਿਨਾਂ ਪਾਬੰਦੀ ਰਹਿਣਾ ਚਾਹੀਦਾ ਹੈ ਤਾਂ ਜੋ ਕਲਾਇੰਟ ਦਾ ਅਸਥਾਈ ਸਰੋਤ ਪੋਰਟ ਫਿਲਟਰ ਨਾ ਹੋ ਜਾਵੇ। ਉਲਟਾ ਕਰਨ ਨਾਲ ਐਸਾ ਨਿਯਮ ਬਣਦਾ ਹੈ ਜੋ ਕਿਸੇ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ ਅਤੇ ਇੱਕ ਬੁਝਾਰਤ ਜੋ ਪੂਰੀ ਦੁਪਹਿਰ ਲੈ ਲੈਂਦੀ ਹੈ।

ਰੂਟ ਅਤੇ ਫਿਲਟਰ ਨੂੰ ਦੋ ਵੱਖਰੇ ਫੈਸਲਿਆਂ ਵਜੋਂ ਲਿਖੋ। ਰੂਟ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਇਸ ਸਰਵਰ ਤੱਕ ਟਨਲ ਰਾਹੀਂ ਪਹੁੰਚਦੇ ਹਨ, ਅਤੇ ਫਿਲਟਰ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਸੇਵਾਵਾਂ ਉਸ ਰਾਹ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੀਆਂ ਹਨ।

ਦੋ ਬੇਨਤੀਆਂ ਨਾਲ ਦੋਵੇਂ ਨਤੀਜੇ ਸਿੱਧ ਕਰੋ

ਆਗਿਆ ਦਿੱਤਾ ਪ੍ਰਵਾਹ ਅਤੇ ਨਾਂਹ ਕੀਤਾ ਪ੍ਰਵਾਹ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਪਰਖੋ, ਅਤੇ ਗੁੰਮ ਪੰਨੇ ਦੀ ਥਾਂ ਅਸਫਲਤਾ ਪੜ੍ਹੋ। ਛੇਤੀ ਆਉਣ ਵਾਲੀ ਨਾਂਹ ਨੀਤੀ ਦਾ ਫੈਸਲਾ ਹੈ, ਜਦਕਿ ਸਮਾਂ ਖ਼ਤਮ ਹੋਣਾ ਵਧੇਰੇ ਸੰਭਾਵੀ ਗੁੰਮ ਰੂਟ ਜਾਂ ਨਾ ਸੁਣਨ ਵਾਲੀ ਸੇਵਾ ਹੈ। ਹੇਠਾਂ ਦਿੱਤੇ ਆਦੇਸ਼ ਦੋਵੇਂ ਬੇਨਤੀਆਂ ਚਲਾਉਂਦੇ ਹਨ ਅਤੇ ਲਾਗੂ ਨਿਯਮ ਦਿਖਾਉਂਦੇ ਹਨ।

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB ਪਰਖ ਵਿੱਚ ਛੇਤੀ ਨਾਂਹ ਅਤੇ HTTPS ਪਰਖ ਵਿੱਚ ਸਫਲਤਾ ਉਹੀ ਨਤੀਜਾ ਹੈ ਜੋ ਫਿਲਟਰ ਨੇ ਦੇਣਾ ਸੀ। ਦੋਵੇਂ ਪੋਰਟਾਂ 'ਤੇ ਨਾਂਹ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸੂਚੀ ਵਿੱਚ ਸੈਸ਼ਨ ਨੂੰ ਲੋੜੀਂਦੀ ਕੋਈ ਚੀਜ਼ ਗੁੰਮ ਹੈ, ਅਤੇ ਦੋਵਾਂ 'ਤੇ ਸਮਾਂ ਖ਼ਤਮ ਹੋਣਾ ਫਿਲਟਰਿੰਗ ਨਹੀਂ ਸਗੋਂ ਰੂਟਿੰਗ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। ਜੇ ਸੁਰੱਖਿਅਤ ਪ੍ਰਵਾਹ IPsec ਆਉਟਪੁੱਟ ਵਿੱਚ ਕੋਈ ਸੁਰੱਖਿਆ ਸਾਂਝ ਨਹੀਂ ਦਿਖਾਉਂਦੇ ਹਨ, ਤਾਂ ਜੋੜ ਸਫਲ ਹੋਣ 'ਤੇ ਵੀ ਸੁਰੱਖਿਆ ਦੀ ਮੰਗ ਪੂਰੀ ਨਹੀਂ ਹੁੰਦੀ। ਚਾਰੇ ਆਉਟਪੁੱਟ ਇਕੱਠੇ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਹਰ ਇੱਕ ਇਕੱਲਾ ਵੱਖਰੀ ਕਹਾਣੀ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।

ਨਤੀਜਿਆਂ ਨਾਲ ਲਾਗੂ ਪ੍ਰੋਫਾਈਲ, ਨਿਯਮ ਸਮੂਹ ਅਤੇ ਸਾਹਮਣੇ ਵਾਲੇ ਪਾਸੇ ਦੀ ਨੀਤੀ ਦਰਜ ਕਰੋ। ਪੁਰਾਣੇ Windows ਕਲਾਇੰਟਾਂ ਬਾਰੇ ਇਤਿਹਾਸਕ ਅਨੁਕੂਲਤਾ ਟਿੱਪਣੀਆਂ ਇਹ ਨਹੀਂ ਦੱਸਦੀਆਂ ਕਿ ਅੱਜ ਦੀਆਂ ਪ੍ਰਬੰਧਿਤ ਪ੍ਰੋਫਾਈਲ ਸੁਵਿਧਾਵਾਂ ਕਿਸੇ ਖ਼ਾਸ ਗੇਟਵੇ 'ਤੇ ਕੀ ਸਮਰਥਨ ਕਰਦੀਆਂ ਹਨ। ਸੰਸਕਰਣ-ਖ਼ਾਸ ਵਿਵਹਾਰ ਧਾਰਨਾ ਵਿੱਚ ਨਹੀਂ, ਦਰਜੇ ਵਿੱਚ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।