Filtër trafiku VPN apo rregull IPsec: ku Windows zbaton një port

Një përdorues i VPN në Windows duhet të arrijë HTTPS në një server dhe jo SMB në të njëjtin server, dhe një rrugë nuk mund ta shprehë këtë. Të dyja kërkesat mbartin të njëjtën adresë destinacioni, kështu që prefiksi që dërgon trafikun në tunel mbart edhe rrjedhën që donit të përjashtonit. Për t'i ndarë ato duhet një rregull që shqyrton diçka më të imët se destinacioni.

Dy qëllime të ndryshme ndërtohen me dy mekanizma të ndryshëm të Windows. Përzierja e tyre prodhon një politikë që duket e plotë ndërsa zbaton gjysmën e asaj që kishit ndërmend.

Një rrugë nuk mund të ndajë dy shërbime në një adresë

Rrugëtimi origjinal i VPN bazohet në prefikse: vendos cilat destinacione kalojnë nëpër tunel dhe cilat mbeten jashtë. Është mjeti i duhur për të mbajtur një nënrrjet brenda dhe një tjetër jashtë, dhe është i verbër ndaj porteve për nga ndërtimi. Një filtër trafiku në profilin VPN shton një dimension të dytë: përputh protokollin, adresën e largët dhe portin e largët me atë që mund të kalojë atë ndërfaqe. Një rregull IPsec punon në një vend të tretë dhe shpreh cilat rrjedha kërkojnë mbrojtje dhe me kë vërtetohen. Të tre përgjigjen pyetjeve të ndryshme dhe asnjëri nuk zëvendëson të tjerët.

Filloni duke shkruar fjalinë e synuar. Lejo vetëm HTTPS është fjali aksesi, ndërsa kërko IPsec për HTTPS është fjali mbrojtjeje, dhe të dyja çojnë në konfigurim të ndryshëm.

Kufizimi i aksesit dhe kërkesa për mbrojtje ndryshojnë drejtim

Një kufizim aksesi thotë çfarë mund të përdorë ndërfaqen dhe zbatohet duke lejuar një bashkësi dhe duke refuzuar gjithçka tjetër. Një kërkesë mbrojtjeje thotë cilat rrjedha duhet të kriptohen dhe vërtetohen dhe zbatohet duke negociuar shoqata sigurie që përputhen me to. E para prodhon një kërkesë të bllokuar kur diçka nuk është në listë, ndërsa e dyta prodhon një lidhje që ose mbart mbrojtjen e kërkuar ose nuk vendoset. Trajtimi i njërës si tjetra është mënyra se si një politikë përfundon duke mos bllokuar asgjë ose duke mos mbrojtur asgjë.

Pasoja praktike është se një listë filtrash është një bashkësi e mbyllur. Pasi një listë ekziston në profil, trafiku përmes asaj ndërfaqeje që nuk përputhet me asnjë zë refuzohet, kështu që DNS, shkëmbimet e vërtetimit dhe çdo varësi që i duhet aplikacionit kërkojnë zërat e tyre. Shtimi i një rregulli të gjerë për të heshtur refuzimet rihap të gjithë ndërfaqen dhe anulon kufizimin në heshtje. Lista duhet të jetë aq e shkurtër sa lejon kërkesa dhe aq e plotë sa kërkon aplikacioni.

Ndërtoni listën e filtrave si një bashkësi të plotë

Profilet VPNv2 mbartin listën e filtrave veçmas nga lista e rrugëve, dhe zërat e saj janë veti të profilit, jo komanda. Për shembullin HTTPS zëri kërkon protokollin 6, adresën e largët dhe portin e largët, të vendosura përmes kanalit të menaxhimit ose ProfileXML për llojin e profilit në përdorim. Përkufizimi i filtrit të trafikut VPNv2 i Microsoft thotë se kushtet brenda një rregulli kombinohen ndërsa identifikuesit e veçantë të rregullit veprojnë si alternativa.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Vlerat e porteve në atë listë përshkruajnë portin e shërbimit në skajin e largët, dhe porti lokal duhet të mbetet i pakufizuar që porti kalimtar i burimit të klientit të mos filtrohet. E kundërta prodhon një rregull që nuk përputhet me asgjë dhe një gjëegjëzë që merr një pasdite.

Shkruani rrugën dhe filtrin si dy vendime të veçanta. Rruga vendos që ky server arrihet përmes tunelit, dhe filtri vendos cilat shërbime mund të përdorin atë rrugë.

Provoni të dyja rezultatet me dy kërkesa

Testoni rrjedhën e lejuar dhe rrjedhën e refuzuar veçmas, dhe lexoni dështimin në vend të faqes që mungon. Një refuzim që vjen shpejt është vendim politike, ndërsa një skadim kohe është më shumë gjasa rrugë që mungon ose shërbim që nuk dëgjon. Komandat më poshtë ekzekutojnë të dyja kërkesat dhe tregojnë rregullat në fuqi.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Një refuzim i shpejtë në testin SMB me test HTTPS të suksesshëm është rezultati që filtri duhej të prodhonte. Refuzimi në të dy portet do të thotë se listës i mungon diçka që sesioni ka nevojë, dhe skadimi i kohës në të dyja tregon rrugëtim dhe jo filtrim. Nëse rrjedhat e mbrojtura tregojnë asnjë shoqatë sigurie në daljen e IPsec, kërkesa për mbrojtje nuk plotësohet edhe kur lidhja ka sukses. Lexoni të katër daljet së bashku, sepse secila vetëm mbështet një histori tjetër.

Regjistroni profilin efektiv, bashkësinë e rregullave dhe politikën e palës tjetër bashkë me rezultatet. Shënimet historike të përputhshmërisë për klientët më të vjetër të Windows nuk përshkruajnë çfarë mbështesin veçoritë e profilit të menaxhuar të sotëm në një portë të caktuar. Sjellja e varur nga versioni i përket regjistrit, jo supozimit.