Kichujio cha trafiki cha VPN au kanuni ya IPsec: Windows hutekeleza bandari wapi

Mtumiaji mmoja wa VPN ya Windows anapaswa kufikia HTTPS kwenye seva na si SMB kwenye seva hiyo hiyo, na njia haiwezi kueleza hilo. Maombi yote mawili yanabeba anwani moja ya lengo, kwa hivyo kiambishi kinachotuma trafiki kwenye handaki kinabeba pia mtiririko uliotaka kuondoa. Kuwatenganisha kunahitaji kanuni inayochunguza kitu kilichobainika zaidi kuliko lengo.

Nia mbili tofauti hujengwa kwa mifumo miwili tofauti ya Windows. Kuzichanganya hutoa sera inayoonekana kamili huku ikitekeleza nusu ya kile ulichokusudia.

Njia haiwezi kutenganisha huduma mbili kwenye anwani moja

Uelekezaji asilia wa VPN unategemea viambishi: huamua ni maeneo gani yanayopita kwenye handaki na yapi yanabaki nje. Hiki ni chombo sahihi cha kuweka subnet moja ndani na nyingine nje, na kwa muundo wake ni kipofu kwa bandari. Kichujio cha trafiki kwenye wasifu wa VPN kinaongeza mwelekeo wa pili: hulinganisha itifaki, anwani ya mbali na bandari ya mbali na kile kinachoweza kuvuka kiolesura hicho. Kanuni ya IPsec hufanya kazi mahali pa tatu na kueleza ni mitiririko ipi inayodai ulinzi na na nani inathibitisha. Zote tatu hujibu maswali tofauti na hakuna inayobadilisha nyingine.

Anza kwa kuandika sentensi iliyokusudiwa. Ruhusu HTTPS pekee ni sentensi ya ufikiaji, wakati dai IPsec kwa HTTPS ni sentensi ya ulinzi, na zote mbili hupeleka kwenye usanidi tofauti.

Kizuizi cha ufikiaji na sharti la ulinzi hutofautiana

Kizuizi cha ufikiaji husema kile kinachoweza kutumia kiolesura, na hutekelezwa kwa kuruhusu seti na kukataa kila kitu kingine. Sharti la ulinzi husema ni mitiririko ipi lazima isimbwe na kuthibitishwa, na hutekelezwa kwa kujadiliana vyama vya usalama vinavyolingana nayo. Cha kwanza hutoa ombi lililozuiwa wakati kitu hakiko kwenye orodha, wakati cha pili hutoa muunganisho ambao ama hubeba ulinzi unaodaiwa au hautokani. Kuchukua kimoja kama kingine ndiyo njia ambayo sera huishia kutozuia kitu au kutolinda kitu.

Matokeo ya kivitendo ni kwamba orodha ya vichujio ni seti iliyofungwa. Orodha ikiwepo kwenye wasifu, trafiki inayopita kiolesura hicho isiyolingana na kiingilio kimoja hukataliwa, kwa hivyo DNS, mabadilishano ya uthibitishaji na utegemezi wowote unaohitajika na programu huhitaji viingilio vyake. Kuongeza kanuni moja pana ili kunyamazisha kukataliwa hufungua kiolesura chote tena na kubatilisha kizuizi kimya kimya. Orodha inapaswa kuwa fupi kadri sharti linavyoruhusu na kamili kadri programu inavyodai.

Jenga orodha ya vichujio kama seti kamili

Wasifu wa VPNv2 hubeba orodha ya vichujio kando na orodha ya njia, na viingilio vyake ni sifa za wasifu badala ya amri. Kwa mfano wa HTTPS kiingilio kinahitaji itifaki 6, anwani ya mbali na bandari ya mbali, zikipelekwa kupitia kituo cha usimamizi au ProfileXML kwa aina ya wasifu inayotumika. Ufafanuzi wa kichujio cha trafiki cha VPNv2 wa Microsoft unasema kwamba masharti ndani ya kanuni moja hujumuishwa wakati vitambulisho tofauti vya kanuni hufanya kazi kama njia mbadala.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Thamani za bandari kwenye orodha hiyo zinaeleza bandari ya huduma upande wa mbali, na bandari ya ndani inapaswa kubaki bila kizuizi ili bandari ya chanzo ya muda ya mteja isichujwe. Kufanya kinyume hutoa kanuni isiyolingana na kitu na kitendawili kinachochukua mchana mzima.

Andika njia na kichujio kama maamuzi mawili tofauti. Njia huamua kwamba seva hii inafikiwa kupitia handaki, na kichujio huamua ni huduma zipi zinazoweza kutumia njia hiyo.

Thibitisha matokeo yote mawili kwa maombi mawili

Jaribu mtiririko unaoruhusiwa na mtiririko unaokataliwa kwa nyakati tofauti, na soma kushindwa badala ya ukurasa unaokosekana. Kukataliwa kunakuja haraka ni uamuzi wa sera, wakati muda kuisha huenda zaidi ni njia inayokosekana au huduma isiyosikiliza. Amri zilizo hapa chini hufanyisha maombi yote mawili na kuonyesha kanuni zilizo kazini.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Kukataliwa kwa haraka kwenye jaribio la SMB pamoja na kufaulu kwa jaribio la HTTPS ni tokeo ambalo kichujio kilipaswa kutoa. Kukataliwa kwenye bandari zote mbili kunamaanisha orodha inakosa kitu kinachohitajika na kikao, na muda kuisha kwenye zote mbili kuonyesha uelekezaji badala ya uchujaji. Ikiwa mitiririko iliyolindwa inaonyesha hakuna chama cha usalama kwenye matokeo ya IPsec, sharti la ulinzi halijatimizwa hata muunganisho ukifaulu. Soma matokeo yote manne pamoja, kwa sababu kila moja peke yake linatumikia simulizi tofauti.

Rekodi wasifu unaotumika, seti ya kanuni na sera ya upande wa pili pamoja na matokeo. Vidokezo vya kihistoria vya uoanifu kuhusu wateja wa zamani wa Windows havielezi kile vipengele vya wasifu vinavyosimamiwa leo vinavyounga mkono kwenye lango fulani. Tabia inayotegemea toleo ni ya rekodi, si ya dhana.