Filter ng trapiko sa VPN o patakaran ng IPsec: saan ipinapatupad ng Windows ang port

Isang gumagamit ng Windows VPN ang dapat makarating sa HTTPS sa isang server at hindi sa SMB sa parehong server, at hindi ito maipahayag ng isang ruta. Parehong may parehong address ng destinasyon ang dalawang kahilingan, kaya ang prefix na nagpapadala ng trapiko sa tunnel ay nagdadala rin ng daloy na gusto mong ibukod. Upang paghiwalayin ang mga ito kailangan ng patakarang sumusuri ng mas pino kaysa sa destinasyon.

Dalawang magkaibang layunin ang itinatayo ng dalawang magkaibang mekanismo ng Windows. Ang pagsasama nila ay gumagawa ng patakarang mukhang kumpleto habang ipinapatupad lamang ang kalahati ng iyong intensyon.

Hindi maihihiwalay ng isang ruta ang dalawang serbisyo sa isang address

Ang katutubong routing ng VPN ay nakabatay sa prefix: pinagpapasyahan nito kung aling destinasyon ang dumadaan sa tunnel at alin ang nananatili sa labas. Ito ang tamang kasangkapan upang panatilihin ang isang subnet sa loob at ang isa sa labas, at bulag ito sa mga port ayon sa pagkakagawa. Ang filter ng trapiko sa profile ng VPN ay nagdaragdag ng ikalawang dimensyon: itinutugma nito ang protocol, malayong address at malayong port sa maaaring tumawid sa interface na iyon. Gumagana ang patakaran ng IPsec sa ikatlong lugar at ipinapahayag kung aling daloy ang nangangailangan ng proteksyon at kanino sila nagpapatunay. Ang tatlo ay sumasagot sa magkaibang tanong at wala sa kanila ang pumapalit sa iba.

Magsimula sa pagsulat ng nilalayong pangungusap. Ang pagpayag lamang sa HTTPS ay pangungusap ng access, samantalang ang paghingi ng IPsec para sa HTTPS ay pangungusap ng proteksyon, at ang dalawa ay humahantong sa magkaibang configuration.

Nagkakaiba ang paghihigpit sa access at ang pangangailangan ng proteksyon

Ang paghihigpit sa access ay nagsasabi kung ano ang maaaring gumamit ng interface, at ipinapatupad ito sa pamamagitan ng pagpayag sa isang set at pagtanggi sa lahat ng iba pa. Ang pangangailangan ng proteksyon ay nagsasabi kung aling daloy ang dapat i-encrypt at patunayan, at ipinapatupad ito sa pamamagitan ng pakikipagnegosasyon ng mga asosasyon ng seguridad na tumutugma sa kanila. Ang una ay gumagawa ng naharang na kahilingan kapag may hindi nasa listahan, samantalang ang pangalawa ay gumagawa ng koneksyong maaaring nagdadala ng kinakailangang proteksyon o hindi nabubuo. Ang pagtrato sa isa bilang ang isa pa ay ang paraan na ang isang patakaran ay nagtatapos na walang hinaharang o walang pinoprotektahan.

Ang praktikal na kahihinatnan ay ang listahan ng filter ay isang saradong set. Kapag may listahan sa profile, ang trapiko sa interface na iyon na hindi tumutugma sa anumang entry ay tinatanggihan, kaya ang DNS, mga palitan ng pagpapatunay at anumang dependency na kailangan ng application ay nangangailangan ng sarili nilang mga entry. Ang pagdagdag ng isang malawak na patakaran upang patahimikin ang mga pagtanggi ay muling nagbubukas ng buong interface at tahimik na kinakansela ang paghihigpit. Ang listahan ay dapat kasing-ikli ng pinapayagan ng pangangailangan at kasing-kumpleto ng hinihingi ng application.

Itayo ang listahan ng filter bilang kumpletong set

Ang mga profile ng VPNv2 ay may listahan ng filter nang hiwalay sa listahan ng ruta, at ang mga entry nito ay katangian ng profile at hindi mga utos. Para sa halimbawa ng HTTPS kailangan ng entry ang protocol 6, malayong address at malayong port, na ipinapakalat sa pamamagitan ng channel ng pamamahala o ProfileXML para sa uri ng profile na ginagamit. Ang kahulugan ng filter ng trapiko ng VPNv2 ng Microsoft ay nagsasaad na ang mga kondisyon sa loob ng isang patakaran ay pinagsasama samantalang ang magkahiwalay na identifier ng patakaran ay kumikilos bilang mga alternatibo.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Ang mga halaga ng port sa listahang iyon ay naglalarawan ng port ng serbisyo sa malayong dulo, at ang lokal na port ay dapat manatiling walang hadlang upang ang panandaliang source port ng kliyente ay hindi ma-filter. Ang paggawa nito nang baligtad ay gumagawa ng patakarang hindi tumutugma sa anuman at isang palaisipan na kumukuha ng isang hapon.

Isulat ang ruta at ang filter bilang dalawang hiwalay na desisyon. Ang ruta ay nagpapasya na ang server na ito ay naaabot sa pamamagitan ng tunnel, at ang filter ay nagpapasya kung aling serbisyo ang maaaring gumamit ng landas na iyon.

Patunayan ang dalawang resulta sa dalawang kahilingan

Subukan ang pinapayagang daloy at ang tinatanggihang daloy nang hiwalay, at basahin ang kabiguan sa halip na ang nawawalang pahina. Ang mabilis na pagtanggi ay desisyon ng patakaran, samantalang ang timeout ay mas malamang na nawawalang ruta o serbisyong hindi nakikinig. Ang mga utos sa ibaba ay nagpapatakbo ng dalawang kahilingan at nagpapakita ng mga patakarang may bisa.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

Ang mabilis na pagtanggi sa pagsubok ng SMB kasama ng matagumpay na pagsubok ng HTTPS ay ang resultang dapat likhain ng filter. Ang pagtanggi sa dalawang port ay nangangahulugan na kulang ang listahan sa isang bagay na kailangan ng session, at ang timeout sa dalawa ay tumutukoy sa routing at hindi sa filtering. Kung ang mga protektadong daloy ay nagpapakita ng walang asosasyon ng seguridad sa output ng IPsec, hindi natutupad ang pangangailangan ng proteksyon kahit nagtagumpay ang koneksyon. Basahin ang apat na output nang sama-sama, dahil ang bawat isa ay nagtataguyod ng ibang kuwento.

Itala ang epektibong profile, ang set ng patakaran at ang patakaran ng kabilang panig kasama ng mga resulta. Ang makasaysayang mga tala ng pagiging tugma tungkol sa mas lumang mga kliyente ng Windows ay hindi naglalarawan kung ano ang sinusuportahan ng mga tampok ng pinamamahalaang profile ngayon sa isang partikular na gateway. Ang pag-uugaling partikular sa bersyon ay nabibilang sa talaan, hindi sa palagay.