Filter prometa VPN ali pravilo IPsec: kje Windows uveljavi vrata

Pot vidi cilj, ne storitve. Odločite se, ali potrebujete filter dostopa v profilu VPN ali pravilo IPsec, ki zahteva zaščito za tok.

En uporabnik VPN v sistemu Windows mora doseči HTTPS na strežniku in ne SMB na istem strežniku, pot pa tega ne more izraziti. Obe zahtevi nosita isti ciljni naslov, zato predpona, ki pošilja promet v tunel, nosi tudi tok, ki ste ga želeli izključiti. Za njuno ločitev je potrebno pravilo, ki pregleda nekaj finijšega od cilja.

Dva različna namena se zgradita z dvema različnima mehanizmoma sistema Windows. Njuno mešanje da politiko, ki je videti popolna, a uveljavlja polovico tega, kar ste mislili.

Pot ne more ločiti dveh storitev na enem naslovu

Izvorno usmerjanje VPN temelji na predponah: odloča, kateri cilji potujejo skozi tunel in kateri ostanejo zunaj. To je pravo orodje za ohranjanje ene podomrežja znotraj in druge zunaj, in je po zgradbi slepo za vrata. Filter prometa v profilu VPN doda drugo razsežnost: uskladi protokol, oddaljeni naslov in oddaljena vrata s tem, kar sme prečkati ta vmesnik. Pravilo IPsec deluje na tretjem mestu in izraža, kateri tokovi zahtevajo zaščito in s kom se preverjajo. Vsi trije odgovarjajo na različna vprašanja in noben ne nadomesti drugih.

Začnite tako, da napišete želeni stavek. Dovoli samo HTTPS je stavek o dostopu, medtem ko zahtevaj IPsec za HTTPS je stavek o zaščiti, in oba vodita v drugačno konfiguracijo.

Omejitev dostopa in zahteva po zaščiti se razhajata

Omejitev dostopa pove, kaj sme uporabljati vmesnik, in se uveljavi tako, da se dovoli množico in zavrne vse ostalo. Zahteva po zaščiti pove, kateri tokovi morajo biti šifrirani in preverjeni, in se uveljavi s pogajanjem o varnostnih asociacijah, ki se jim ujemajo. Prva da blokirano zahtevo, ko nečesa ni na seznamu, druga pa povezavo, ki bodisi nosi zahtevano zaščito bodisi se ne vzpostavi. Obravnavati eno kot drugo je pot, po kateri politika na koncu ne blokira ničesar ali ne zaščiti ničesar.

Praktična posledica je, da je seznam filtrov zaprta množica. Ko na profilu obstaja seznam, se promet na tem vmesniku, ki se ne ujema z nobenim vnosom, zavrne, zato DNS, izmenjave preverjanja in vsaka odvisnost, ki jo aplikacija potrebuje, zahtevajo svoje vnose. Dodajanje enega širokega pravila za utišanje zavrnitev znova odpre celoten vmesnik in tiho prekliče omejitev. Seznam mora biti tako kratek, kot zahteva dopušča, in tako popoln, kot aplikacija zahteva.

Zgradite seznam filtrov kot popolno množico

Profili VPNv2 nosijo seznam filtrov ločeno od seznama poti, njegovi vnosi pa so lastnosti profila in ne ukazi. Za primer HTTPS vnos potrebuje protokol 6, oddaljeni naslov in oddaljena vrata, nameščene prek kanala za upravljanje ali ProfileXML za uporabljeno vrsto profila. Opredelitev filtra prometa VPNv2 podjetja Microsoft navaja, da se pogoji znotraj enega pravila združujejo, medtem ko ločeni identifikatorji pravil delujejo kot alternative.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Vrednosti vrat na tem seznamu opisujejo vrata storitve na oddaljenem koncu, lokalna vrata pa naj ostanejo neomejena, da se efemerna izvorna vrata odjemalca ne filtrirajo. Obrnjeno početje da pravilo, ki se ne ujema z ničimer, in sestavljanko za popoldne.

Zapišite pot in filter kot dve ločeni odločitvi. Pot odloči, da se do tega strežnika pride skozi tunel, filter pa odloči, katere storitve smejo uporabljati tisto pot.

Dokažite oba izida z dvema zahtevama

Preizkusite dovoljeni tok in zavrnjeni tok ločeno in berite napako, ne manjkajoče strani. Hitra zavrnitev je odločitev politike, medtem ko je časovna omejitev bolj verjetno manjkajoča pot ali storitev, ki ne posluša. Ukazi spodaj izvedejo obe zahtevi in pokažejo veljavna pravila.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Hitra zavrnitev pri preskusu SMB ob uspešnem preskusu HTTPS je izid, ki bi ga filter moral dati. Zavrnitev na obeh vratih pomeni, da na seznamu manjka nekaj, kar seja potrebuje, časovna omejitev na obeh pa kaže na usmerjanje in ne na filtriranje. Če zaščiteni tokovi v izpisu IPsec kažejo nobene varnostne asociacije, zahteva po zaščiti ni izpolnjena, tudi ko povezava uspe. Berite vse štiri izpise skupaj, saj vsak sam podpira drugo zgodbo.

Zabeležite dejanski profil, nabor pravil in politiko nasprotne strani skupaj z rezultati. Zgodovinske opombe o združljivosti s starejšimi odjemalci Windows ne opisujejo, kaj današnje funkcije upravljanega profila podpirajo na določenem prehodu. Vedenje, odvisno od različice, spada v zapis in ne v predpostavko.

Sorodni članki