VPN filter prometa ili IPsec pravilo: gdje Windows primjenjuje port

Ruta vidi odredište, a ne uslugu. Odlučite treba li vam filter pristupa na VPN profilu ili IPsec pravilo koje zahtijeva zaštitu za tok.

Jedan korisnik Windows VPN-a treba stići do HTTPS na serveru, a ne do SMB na istom serveru, i ruta to ne može izraziti. Oba zahtjeva nose istu odredišnu adresu, pa prefiks koji šalje promet u tunel nosi i tok koji ste htjeli izuzeti. Njihovo razdvajanje traži pravilo koje razmatra nešto finije od odredišta.

Dvije različite namjere grade se dvama različitim Windows mehanizmima. Ako ih pomiješate, dobijate politiku koja izgleda potpuna, a provodi samo pola onoga što ste mislili.

Ruta ne može razdvojiti dvije usluge na jednoj adresi

Izvorno VPN usmjeravanje zasniva se na prefiksima: odlučuje koja odredišta putuju kroz tunel, a koja ostaju vani. To je pravi alat da jedna podmreža bude unutra, a druga vani, i po konstrukciji je slijepo na portove. Filter prometa na VPN profilu dodaje drugu dimenziju: usklađuje protokol, udaljenu adresu i udaljeni port s onim što smije prijeći taj interfejs. IPsec pravilo radi na trećem mjestu i izražava koji tokovi traže zaštitu i s kim se autentificiraju. Tri odgovaraju na različita pitanja i nijedno ne zamjenjuje druga.

Počnite time što ćete napisati željenu rečenicu. Dopusti samo HTTPS je rečenica o pristupu, dok je zahtijevaj IPsec za HTTPS rečenica o zaštiti, i dvije vode različitoj konfiguraciji.

Ograničenje pristupa i zahtjev za zaštitom razilaze se

Ograničenje pristupa kaže šta smije koristiti interfejs i provodi se dopuštanjem skupa i odbijanjem svega ostalog. Zahtjev za zaštitom kaže koji tokovi moraju biti šifrovani i autentificirani i provodi se dogovaranjem sigurnosnih asocijacija koje im odgovaraju. Prvo daje blokiran zahtjev kada nečega nema na listi, a drugo daje vezu koja ili nosi traženu zaštitu ili se ne uspostavlja. Tretirati jedno kao drugo način je da politika na kraju ne blokira ništa ili ne štiti ništa.

Praktična posljedica je da je lista filtera zatvoren skup. Kada lista postoji na profilu, promet preko tog interfejsa koji ne odgovara nijednom unosu se odbija, pa DNS, razmjene autentifikacije i svaka zavisnost koja treba aplikaciji zahtijevaju vlastite unose. Dodavanje jednog širokog pravila da utiša odbijanja ponovo otvara cijeli interfejs i tiho poništava ograničenje. Lista treba biti kratka koliko zahtjev dopušta i potpuna koliko aplikacija traži.

Izgradite listu filtera kao potpun skup

VPNv2 profili nose listu filtera odvojeno od liste ruta, a njeni unosi su svojstva profila, a ne naredbe. Za HTTPS primjer unosu trebaju protokol 6, udaljena adresa i udaljeni port, raspoređeni kroz kanal upravljanja ili ProfileXML za korištenu vrstu profila. Microsoftova definicija VPNv2 filtera prometa navodi da se uslovi unutar jednog pravila kombinuju, dok zasebni identifikatori pravila djeluju kao alternative.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Vrijednosti portova na toj listi opisuju port usluge na udaljenoj strani, a lokalni port treba ostati neograničen kako se prolazni izvorni port klijenta ne bi filtrirao. Obrnuti redoslijed daje pravilo koje se ni s čim ne poklapa i zagonetku za cijelo poslijepodne.

Napišite rutu i filter kao dvije odvojene odluke. Ruta odlučuje da se do tog servera dolazi kroz tunel, a filter odlučuje koje usluge smiju koristiti taj put.

Dokažite oba ishoda s dva zahtjeva

Testirajte dopušteni tok i odbijeni tok odvojeno i čitajte neuspjeh, a ne stranicu koja nedostaje. Brzo odbijanje je odluka politike, dok je istek vremena vjerovatnije ruta koja nedostaje ili usluga koja ne sluša. Naredbe ispod pokreću oba zahtjeva i prikazuju pravila na snazi.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Brzo odbijanje na SMB testu uz uspješan HTTPS test ishod je koji je filter trebao proizvesti. Odbijanje na oba porta znači da listi nedostaje nešto što sesija treba, a istek vremena na oba upućuje na usmjeravanje, a ne na filtriranje. Ako zaštićeni tokovi pokazuju nema sigurnosne asocijacije u IPsec izlazu, zahtjev za zaštitom nije ispunjen čak i kada veza uspije. Čitajte sva četiri izlaza zajedno, jer svaki sam podržava drugu priču.

Zabilježite efektivni profil, skup pravila i politiku druge strane uz rezultate. Historijske napomene o kompatibilnosti sa starijim Windows klijentima ne opisuju šta današnje funkcije upravljanog profila podržavaju na određenom pristupniku. Ponašanje specifično za verziju pripada zapisu, a ne pretpostavci.

Povezani članci