VPN trafik filtri yoki IPsec qoidasi: Windows portni qayerda qo'llaydi

Bitta Windows VPN foydalanuvchisi serverda HTTPS ga yetib borishi, o'sha serverda SMB ga yetib bormasligi kerak, marshrut esa buni ifodalay olmaydi. Ikkala so'rov ham bir xil manzilni olib yuradi, shuning uchun trafikni tunnelga yuboradigan prefiks siz istisno qilmoqchi bo'lgan oqimni ham olib yuradi. Ularni ajratish uchun manzildan nozikroq narsani tekshiradigan qoida kerak.

Ikki xil niyat ikki xil Windows mexanizmi bilan quriladi. Ularni aralashtirish to'liq ko'ringan, ammo niyatingizning yarmini qo'llaydigan siyosat yaratadi.

Marshrut bitta manzilda ikki xizmatni ajrata olmaydi

VPN ning tabiiy marshrutlashi prefikslarga asoslangan: qaysi manzillar tunneldan o'tishini va qaysilari tashqarida qolishini hal qiladi. Bitta quyi tarmoqni ichkarida, boshqasini tashqarida ushlab turish uchun to'g'ri vosita, va tuzilishiga ko'ra portlarga ko'r. VPN profilidagi trafik filtri ikkinchi o'lchamni qo'shadi: protokol, uzoq manzil va uzoq portni shu interfeysdan o'tishi mumkin bo'lgan narsaga moslashtiradi. IPsec qoidasi uchinchi joyda ishlaydi va qaysi oqimlar himoyani talab qilishini va kim bilan autentifikatsiya qilishini ifodalaydi. Uchtasi turli savollarga javob beradi va hech biri boshqasini almashtirmaydi.

Ko'zda tutilgan gapni yozishdan boshlang. Faqat HTTPS ga ruxsat ber kirish gapi, HTTPS uchun IPsec talab qil esa himoya gapi, va ikkisi turli konfiguratsiyaga olib boradi.

Kirish cheklovi va himoya talabi ajralib ketadi

Kirish cheklovi interfeysdan nima foydalanishi mumkinligini aytadi va bir to'plamga ruxsat berib, qolgan hamma narsani rad etish bilan qo'llaniladi. Himoya talabi qaysi oqimlar shifrlanishi va autentifikatsiya qilinishi kerakligini aytadi va ularga mos keladigan xavfsizlik assotsiatsiyalari bo'yicha muzokara olib borish bilan qo'llaniladi. Birinchisi ro'yxatda bo'lmagan narsa uchun bloklangan so'rov yaratadi, ikkinchisi esa talab qilingan himoyani olib yuradigan yoki umuman o'rnatilmaydigan ulanish yaratadi. Birini ikkinchisi deb qabul qilish — siyosat oxir-oqibat hech narsani bloklamasligi yoki hech narsani himoya qilmasligining yo'lidir.

Amaliy natija shundaki, filtr ro'yxati yopiq to'plamdir. Profilda ro'yxat mavjud bo'lgach, shu interfeys bo'ylab hech bir yozuvga mos kelmaydigan trafik rad etiladi, shuning uchun DNS, autentifikatsiya almashinuvi va ilovaga kerak bo'lgan har qanday bog'liqlik o'z yozuvlarini talab qiladi. Rad etishlarni jim qilish uchun bitta keng qoida qo'shish butun interfeysni qayta ochadi va cheklovni jimgina bekor qiladi. Ro'yxat talab ruxsat bergancha qisqa va ilova talab qilgancha to'liq bo'lishi kerak.

Filtr ro'yxatini to'liq to'plam sifatida quring

VPNv2 profillari filtr ro'yxatini marshrut ro'yxatidan alohida olib yuradi, uning yozuvlari esa buyruq emas, profil xossalari. HTTPS misolida yozuvga 6 protokol, uzoq manzil va uzoq port kerak, ular foydalanilayotgan profil turi uchun boshqaruv kanali yoki ProfileXML orqali joylashtiriladi. Microsoftning VPNv2 trafik filtri ta'rifi bir qoida ichidagi shartlar birlashishini, alohida qoida identifikatorlari esa alternativ sifatida ishlashini aytadi.

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

Ushbu ro'yxatdagi port qiymatlari uzoq uchdagi xizmat portini tavsiflaydi, mahalliy port cheklovsiz qolishi kerak, aks holda mijozning vaqtinchalik manba porti filtrlanadi. Buni teskari qilish hech narsaga mos kelmaydigan qoida va yarim kun oladigan jumboq yaratadi.

Marshrut va filtrni ikki alohida qaror sifatida yozing. Marshrut bu serverga tunneldan yetib borilishini hal qiladi, filtr esa qaysi xizmatlar o'sha yo'ldan foydalanishi mumkinligini hal qiladi.

Ikki so'rov bilan ikkala natijani isbotlang

Ruxsat etilgan oqim va rad etilgan oqimni alohida sinab ko'ring va yo'q sahifa o'rniga xatolikni o'qing. Tez keladigan rad javobi siyosat qarori, vaqt tugashi esa ko'proq yo'q marshrut yoki eshitmayotgan xizmat demakdir. Quyidagi buyruqlar ikkala so'rovni bajaradi va amaldagi qoidalarni ko'rsatadi.

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB sinovida tez rad va HTTPS sinovida muvaffaqiyat filtr yaratishi kerak bo'lgan natijadir. Ikkala portda ham rad bo'lsa, ro'yxatda sessiyaga kerak bo'lgan narsa yetishmayapti, ikkalasida ham vaqt tugashi filtrga emas, marshrutlashga ishora qiladi. Agar himoyalangan oqimlar IPsec chiqishida xavfsizlik assotsiatsiyasi yo'q deb ko'rsatsa, ulanish muvaffaqiyatli bo'lsa ham himoya talabi bajarilmagan. To'rt chiqishni birga o'qing, chunki har biri yakka holda boshqa voqeani qo'llab-quvvatlaydi.

Natijalar bilan birga amaldagi profil, qoidalar to'plami va qarshi tomon siyosatini yozib qo'ying. Eski Windows mijozlari haqidagi tarixiy moslik izohlari bugungi boshqariladigan profil xususiyatlari ma'lum bir shlyuzda nimani qo'llab-quvvatlashini tasvirlamaydi. Versiyaga bog'liq xatti-harakat yozuvga tegishli, taxminga emas.