VPN филтер саобраћаја или IPsec правило: где Windows примењује порт

Рута види одредиште, а не услугу. Одлучите да ли вам треба филтер приступа на VPN профилу или IPsec правило које захтева заштиту за ток.

Један корисник Windows VPN-а треба да стигне до HTTPS на серверу, а не до SMB на истом серверу, и рута то не може да изрази. Оба захтева носе исту одредишну адресу, па префикс који шаље саобраћај у тунел носи и ток који сте хтели да изузмете. Њихово раздвајање тражи правило које разматра нешто финије од одредишта.

Две различите намере граде се двема различитим Windows механизмима. Ако их помешате, добијате политику која изгледа потпуна, а спроводи само пола онога што сте мислили.

Рута не може да раздвоји две услуге на једној адреси

Изворно VPN усмеравање заснива се на префиксима: одлучује која одредишта путују кроз тунел, а која остају напољу. То је прави алат да једна подмрежа буде унутра, а друга напољу, и по конструкцији је слепо на портове. Филтер саобраћаја на VPN профилу додаје другу димензију: усклађује протокол, удаљену адресу и удаљени порт са оним што сме да пређе тај интерфејс. IPsec правило ради на трећем месту и изражава који токови траже заштиту и са ким се аутентификују. Три одговарају на различита питања и ниједно не замењује друга.

Почните тако што ћете написати жељену реченицу. Дозволи само HTTPS је реченица о приступу, док је захтевај IPsec за HTTPS реченица о заштити, и две воде различитој конфигурацији.

Ограничење приступа и захтев за заштитом разилазе се

Ограничење приступа каже шта сме да користи интерфејс и спроводи се дозвољавањем скупа и одбијањем свега осталог. Захтев за заштитом каже који токови морају бити шифровани и аутентификовани и спроводи се договарањем безбедносних асоцијација које им одговарају. Прво даје блокиран захтев када нечега нема на листи, а друго даје везу која или носи тражену заштиту или се не успоставља. Третирати једно као друго начин је да политика на крају не блокира ништа или не штити ништа.

Практична последица је да је листа филтера затворен скуп. Када листа постоји на профилу, саобраћај преко тог интерфејса који не одговара ниједном уносу се одбија, па DNS, размене аутентификације и свака зависност која треба апликацији захтевају сопствене уносе. Додавање једног широког правила да утиша одбијања поново отвара цео интерфејс и тихо поништава ограничење. Листа треба да буде кратка колико захтев допушта и потпуна колико апликација тражи.

Изградите листу филтера као потпун скуп

VPNv2 профили носе листу филтера одвојено од листе рута, а њени уноси су својства профила, а не наредбе. За HTTPS пример уносу требају протокол 6, удаљена адреса и удаљени порт, распоређени кроз канал управљања или ProfileXML за коришћену врсту профила. Дефиниција VPNv2 филтера саобраћаја компаније Microsoft наводи да се услови унутар једног правила комбинују, док засебни идентификатори правила делују као алтернативе.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Вредности портова на тој листи описују порт услуге на удаљеној страни, а локални порт треба да остане неограничен како се пролазни изворни порт клијента не би филтрирао. Обрнути редослед даје правило које се ни с чим не поклапа и загонетку за цело поподне.

Напишите руту и филтер као две одвојене одлуке. Рута одлучује да се до тог сервера долази кроз тунел, а филтер одлучује које услуге смеју да користе тај пут.

Докажите оба исхода са два захтева

Тестирајте дозвољени ток и одбијени ток одвојено и читајте неуспех, а не страницу која недостаје. Брзо одбијање је одлука политике, док је истек времена вероватније рута која недостаје или услуга која не слуша. Наредбе испод покрећу оба захтева и приказују правила на снази.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Брзо одбијање на SMB тесту уз успешан HTTPS тест исход је који је филтер требало да произведе. Одбијање на оба порта значи да листи недостаје нешто што сесија треба, а истек времена на оба упућује на усмеравање, а не на филтрирање. Ако заштићени токови показују нема безбедносне асоцијације у IPsec излазу, захтев за заштитом није испуњен чак и када веза успе. Читајте сва четири излаза заједно, јер сваки сам подржава другу причу.

Забележите ефективни профил, скуп правила и политику друге стране уз резултате. Историјске напомене о компатибилности са старијим Windows клијентима не описују шта данашње функције управљаног профила подржавају на одређеном приступнику. Понашање специфично за верзију припада запису, а не претпоставци.

Повезани чланци