Filter prevádzky VPN alebo pravidlo IPsec: kde Windows vynucuje port

Trasa vidí cieľ, nie službu. Rozhodnite, či potrebujete prístupový filter v profile VPN alebo pravidlo IPsec, ktoré vyžaduje ochranu toku.

Jeden používateľ Windows VPN má dosiahnuť HTTPS na serveri a nie SMB na tom istom serveri, a trasa to nevie vyjadriť. Obe požiadavky nesú rovnakú cieľovú adresu, takže prefix, ktorý posiela prevádzku do tunela, nesie aj tok, ktorý ste chceli vylúčiť. Ich oddelenie vyžaduje pravidlo, ktoré skúma niečo jemnejšie ako cieľ.

Dva rôzne zámery sa stavajú dvoma rôznymi mechanizmami Windows. Ich zmiešaním vznikne politika, ktorá vyzerá úplne, ale vynucuje polovicu toho, čo ste mali na mysli.

Trasa nedokáže oddeliť dve služby na jednej adrese

Natívne smerovanie VPN je založené na prefixoch: rozhoduje, ktoré ciele idú tunelom a ktoré zostávajú vonku. To je správny nástroj na udržanie jednej podsiete vnútri a druhej vonku a svojou konštrukciou je slepé voči portom. Filter prevádzky v profile VPN pridáva druhý rozmer: zosúlaďuje protokol, vzdialenú adresu a vzdialený port s tým, čo smie dané rozhranie prejsť. Pravidlo IPsec pracuje na treťom mieste a vyjadruje, ktoré toky vyžadujú ochranu a s kým sa overujú. Všetky tri odpovedajú na rôzne otázky a žiadne nenahrádza ostatné.

Začnite tým, že napíšete zamýšľanú vetu. Povoliť len HTTPS je veta o prístupe, zatiaľ čo vyžadovať IPsec pre HTTPS je veta o ochrane, a obe vedú k inej konfigurácii.

Obmedzenie prístupu a požiadavka na ochranu sa rozchádzajú

Obmedzenie prístupu hovorí, čo smie rozhranie používať, a vynucuje sa povolením množiny a odmietnutím všetkého ostatného. Požiadavka na ochranu hovorí, ktoré toky musia byť šifrované a overené, a vynucuje sa dohodnutím bezpečnostných asociácií, ktoré im zodpovedajú. Prvé vytvorí blokovanú požiadavku, keď niečo nie je v zozname, zatiaľ čo druhé vytvorí spojenie, ktoré buď nesie požadovanú ochranu, alebo sa nenadviaže. Zaobchádzať s jedným ako s druhým je spôsob, akým politika napokon nič neblokuje alebo nič nechráni.

Praktickým dôsledkom je, že zoznam filtrov je uzavretá množina. Keď v profile zoznam existuje, prevádzka cez dané rozhranie, ktorá nezodpovedá žiadnej položke, je odmietnutá, takže DNS, výmeny overovania a akákoľvek závislosť, ktorú aplikácia potrebuje, vyžadujú vlastné položky. Pridanie jedného širokého pravidla, aby odmietania stíchli, znova otvorí celé rozhranie a potichu zruší obmedzenie. Zoznam má byť taký krátky, ako požiadavka dovoľuje, a taký úplný, ako aplikácia vyžaduje.

Zostavte zoznam filtrov ako úplnú množinu

Profily VPNv2 nesú zoznam filtrov oddelene od zoznamu trás a jeho položky sú vlastnosti profilu, nie príkazy. Pre príklad s HTTPS položka potrebuje protokol 6, vzdialenú adresu a vzdialený port, nasadené cez kanál správy alebo ProfileXML pre použitý typ profilu. Definícia filtra prevádzky VPNv2 od Microsoftu uvádza, že podmienky vnútri jedného pravidla sa kombinujú, zatiaľ čo samostatné identifikátory pravidiel pôsobia ako alternatívy.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Hodnoty portov v tomto zozname opisujú port služby na vzdialenom konci a lokálny port má zostať neobmedzený, aby sa efemérny zdrojový port klienta neodfiltroval. Opačné poradie vytvorí pravidlo, ktoré nezodpovedá ničomu, a hlavolam na celé popoludnie.

Napíšte trasu a filter ako dve samostatné rozhodnutia. Trasa rozhoduje, že na tento server sa dostaneme tunelom, a filter rozhoduje, ktoré služby smú túto cestu používať.

Dokážte oba výsledky dvoma požiadavkami

Otestujte povolený tok a odmietnutý tok oddelene a čítajte zlyhanie, nie chýbajúcu stránku. Rýchle odmietnutie je rozhodnutie politiky, zatiaľ čo vypršanie času je skôr chýbajúca trasa alebo služba, ktorá nepočúva. Príkazy nižšie spustia obe požiadavky a ukážu platné pravidlá.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Rýchle odmietnutie v teste SMB pri úspešnom teste HTTPS je výsledok, ktorý mal filter vytvoriť. Odmietnutie na oboch portoch znamená, že v zozname chýba niečo, čo relácia potrebuje, a vypršanie času na oboch ukazuje na smerovanie, nie na filtrovanie. Ak chránené toky vo výstupe IPsec ukazujú žiadnu bezpečnostnú asociáciu, požiadavka na ochranu nie je splnená, aj keď spojenie uspeje. Čítajte všetky štyri výstupy spolu, pretože každý sám podporuje iný príbeh.

Zaznamenajte účinný profil, súbor pravidiel a politiku protistrany spolu s výsledkami. Historické poznámky o kompatibilite so staršími klientmi Windows neopisujú, čo dnešné funkcie spravovaného profilu podporujú na konkrétnej bráne. Správanie špecifické pre verziu patrí do záznamu, nie do predpokladu.

Súvisiace články