VPN trafik filtresi mi IPsec kuralı mı: Windows bağlantı noktasını nerede uygular

Bir rota hedefi görür, hizmeti değil. VPN profilinde bir erişim filtresine mi yoksa akış için koruma isteyen bir IPsec kuralına mı ihtiyacınız olduğuna karar verin.

Bir Windows VPN kullanıcısı bir sunucuda HTTPS'e ulaşmalı, aynı sunucuda SMB'ye ulaşmamalı ve bir rota bunu ifade edemez. Her iki istek de aynı hedef adresini taşır, bu nedenle trafiği tünele gönderen önek, dışlamak istediğiniz akışı da taşır. Bunları ayırmak, hedeften daha ince bir şeyi inceleyen bir kural gerektirir.

İki farklı niyet iki farklı Windows mekanizmasıyla kurulur. Bunları karıştırmak, kastedilenin yarısını uygularken eksiksiz görünen bir ilke üretir.

Bir rota tek adreste iki hizmeti ayıramaz

Yerel VPN yönlendirmesi önek tabanlıdır: hangi hedeflerin tünelden geçtiğine ve hangilerinin dışarıda kaldığına karar verir. Bir alt ağı içeride, diğerini dışarıda tutmak için doğru araçtır ve yapısı gereği bağlantı noktalarına kördür. VPN profilindeki trafik filtresi ikinci bir boyut ekler: protokolü, uzak adresi ve uzak bağlantı noktasını o arabirimden geçebileceklerle eşleştirir. IPsec kuralı üçüncü bir yerde çalışır ve hangi akışların koruma gerektirdiğini ve kiminle kimlik doğruladığını ifade eder. Üçü farklı soruları yanıtlar ve hiçbiri diğerlerinin yerini almaz.

Amaçlanan cümleyi yazarak başlayın. Yalnızca HTTPS'e izin ver bir erişim cümlesidir, HTTPS için IPsec iste ise bir koruma cümlesidir ve ikisi farklı yapılandırmaya götürür.

Erişim kısıtlaması ile koruma gereksinimi ayrışır

Bir erişim kısıtlaması arabirimi neyin kullanabileceğini söyler ve bir kümeye izin verip geri kalan her şeyi reddederek uygulanır. Bir koruma gereksinimi hangi akışların şifrelenmesi ve kimlik doğrulaması gerektiğini söyler ve bunlara uyan güvenlik ilişkileri müzakere edilerek uygulanır. İlki listede olmayan bir şey olduğunda engellenmiş bir istek üretir, ikincisi ise ya gereken korumayı taşıyan ya da hiç kurulmayan bir bağlantı üretir. Birini diğeri gibi ele almak, bir ilkenin sonunda hiçbir şeyi engellememesinin veya hiçbir şeyi korumamasının yoludur.

Pratik sonuç, filtre listesinin kapalı bir küme olmasıdır. Profilde bir liste olduğunda, o arabirim üzerinden hiçbir girdiyle eşleşmeyen trafik reddedilir, bu yüzden DNS, kimlik doğrulama alışverişleri ve uygulamanın ihtiyaç duyduğu her bağımlılık kendi girdilerini gerektirir. Reddetmeleri susturmak için tek bir geniş kural eklemek tüm arabirimi yeniden açar ve kısıtlamayı sessizce iptal eder. Liste, gereksinimin izin verdiği kadar kısa ve uygulamanın talep ettiği kadar eksiksiz olmalıdır.

Filtre listesini eksiksiz bir küme olarak kurun

VPNv2 profilleri filtre listesini rota listesinden ayrı taşır ve girdileri komut değil profil özellikleridir. HTTPS örneği için girdi 6 numaralı protokole, uzak adrese ve uzak bağlantı noktasına ihtiyaç duyar ve bunlar kullanılan profil türü için yönetim kanalı veya ProfileXML üzerinden dağıtılır. Microsoft'un VPNv2 trafik filtresi tanımı bir kural içindeki koşulların birleştiğini, ayrı kural tanımlayıcılarının ise alternatif olarak işlediğini belirtir.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Bu listedeki bağlantı noktası değerleri uzak uçtaki hizmet bağlantı noktasını tanımlar ve yerel bağlantı noktası sınırsız kalmalıdır ki istemcinin geçici kaynak bağlantı noktası filtrelenmesin. Bunu tersine yapmak hiçbir şeyle eşleşmeyen bir kural ve yarım gün süren bir bulmaca üretir.

Rotayı ve filtreyi iki ayrı karar olarak yazın. Rota bu sunucuya tünelden ulaşıldığına karar verir, filtre ise hangi hizmetlerin o yolu kullanabileceğine karar verir.

İki istekle iki sonucu da kanıtlayın

İzin verilen akışı ve reddedilen akışı ayrı ayrı test edin ve eksik sayfa yerine hatayı okuyun. Hızlı gelen bir ret bir ilke kararıdır, oysa zaman aşımı daha çok eksik rota veya dinlemeyen bir hizmet demektir. Aşağıdaki komutlar iki isteği de çalıştırır ve yürürlükteki kuralları gösterir.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB testinde hızlı bir ret ve HTTPS testinde başarı, filtrenin üretmesi gereken sonuçtur. İki bağlantı noktasında da ret olması, listede oturumun ihtiyaç duyduğu bir şeyin eksik olduğu anlamına gelir; ikisinde de zaman aşımı ise filtrelemeye değil yönlendirmeye işaret eder. Korumalı akışlar IPsec çıktısında güvenlik ilişkisi yok gösteriyorsa, bağlantı başarılı olsa bile koruma gereksinimi karşılanmamıştır. Dört çıktıyı birlikte okuyun, çünkü her biri tek başına farklı bir hikâyeyi destekler.

Yürürlükteki profili, kural kümesini ve karşı tarafın ilkesini sonuçlarla birlikte kaydedin. Eski Windows istemcileri hakkındaki geçmiş uyumluluk notları, bugünkü yönetilen profil özelliklerinin belirli bir ağ geçidinde neyi desteklediğini açıklamaz. Sürüme özgü davranış varsayıma değil, kayda aittir.

İlgili makaleler