LocalSubnet في قاعدة جدار حماية SMB لن تغطي عملاء VPN
قاعدة سماح LocalSubnet تغطي الشبكات الفرعية للخادم نفسه، لا مجموعة VPN الموجّهة. قارن عنوان المصدر الذي يراه الخادم قبل توسيع النطاق.
تصل أجهزة سطح المكتب إلى المشاركة، بينما ينتهي وقت عملاء VPN، ويعمل الحساب نفسه من نقطة اتصال هاتف. نادرًا ما تكون أذونات المشاركة هي الفرق؛ بل العنوان الذي يصل إلى خادم الملفات هو الفرق عادة. القاعدة المقيّدة بـ LocalSubnet تسمح بالشبكات الفرعية الملحقة بالخادم نفسه، ومجموعة VPN الموجّهة بشكل منفصل ليست واحدة منها. تصميمان يسدان الفجوة، ويتركان سجلات مختلفة جدًا.
تصميمان، عرض واحد
يضيف التصميم الأول مجموعة VPN إلى شرط العنوان البعيد في القاعدة. عندئذ يرى الخادم عنوان النفق لكل عميل، فتستطيع سجلاته التمييز بين مستخدم بعيد وآخر. أما التصميم الثاني فيوجّه حركة VPN عبر بوابة تترجمها إلى عنوان LAN قبل أن يراها الخادم. وهذا يعيد الاتصال ويزيل التمييز في الخطوة نفسها.
يصف الجدول الأدوار لا العناوين، وبادئاتك الخاصة تحدد أي صف ينطبق. اطبع القيم الفعلية للخادم بدل نسخ مثال من تدوينة:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthالجدول أداة قرار، وليس ادعاءً بشأن كل نشر. المضيف الذي لديه واجهات إضافية أو رابط موقع ثانٍ أو قناع مختلف لديه مجموعة محلية مختلفة.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
يوثّق مرجع New-NetFirewallRule من Microsoft شروط العنوان البعيد وكلمة LocalSubnet المفتاحية. اقرأه قبل أن تقرر أن الكلمة تعني كل العناوين الخاصة، لأنها لا تعني ذلك.
قارن ما يتلقاه الخادم فعليًا
اقرأ القاعدة الفعّالة بدل القاعدة التي يتذكر أحدهم أنه أنشأها. تحقق من أنها ممكّنة، وأنها تنطبق على ملف التعريف النشط، وأن شرط عنوانها البعيد يطابق المصدر الذي يراه الخادم. القاعدة الممكّنة على ملف تعريف النطاق فقط لا تفعل شيئًا عندما ينتقل المحوّل إلى العام بعد تغيير في الشبكة.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionيطبع الأمر الأول مرشحات العناوين المرتبطة بقواعد مشاركة الملفات، ويعرض الثاني ملفات التعريف النشطة وكيفية معالجة حركة الوارد غير المطابقة. ابحث أيضًا عن قاعدة حجب وعن سياسة تُدار مركزيًا. قواعد الحجب لها الأولوية على قواعد السماح، والسياسة التي تعطّل دمج القواعد المحلية قد تجعل استثناءً محليًا جديدًا بلا أثر.
هذه هي الحالة التي تبدو فيها القاعدة صحيحة في وحدة التحكم ولا تأثير لها على الحركة. تحقق من إسناد ملف التعريف في الوقت نفسه، لأن الحاسوب المحمول الذي انضم إلى شبكة مختلفة قد ينتقل إلى ملف التعريف العام دون أن يلمس أحد جدار الحماية.
اختبر النقل قبل تسجيل الدخول
افصل قابلية الوصول عن المصادقة. مستمع على TCP 445 يثبت أن خدمة مرتبطة بالمنفذ؛ لكنه لا يثبت أن حزمة بعيدة يمكنها الوصول إليه. الاتصال المكتمل عبر TCP لا يقول شيئًا بعد عن إعداد جلسة SMB أو أذونات المشاركة. اختبر المصافحة من الجانبين قبل تحرير قاعدة.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel Detailedيبلغ الأمر الأول عما إذا كانت مصافحة TCP تنجح من الجهاز الذي تشغّله عليه، ويضيف الثاني العنوان الذي تم تحليله وتفاصيل الواجهة. شغّله من عميل VPN ومن جهاز سطح مكتب في المكتب، ثم قارن. الأمر ping لا يجيب عن أي من السؤالين، لأن ICMP قد يكون محجوبًا بينما SMB مفتوح، أو مسموحًا بينما يُسقط جدار الحماية 445.
إذا فشلت المصافحة من VPN فقط، فإن نطاق المصدر هو المشتبه الرئيسي. وإذا نجحت وما زالت المشاركة ترفضك، انتقل إلى تشخيص جلسة SMB والأذونات بدل تعديل قواعد جدار الحماية.
عندما يزيل NAT المصدر التمييز
مع وجود الترجمة في المسار، لا يستطيع الخادم التمييز بين عملاء VPN الأفراد بالعنوان. كل مستخدم بعيد يصل بصفته البوابة. أي تفويض يعتمد على التمييز بينهم يجب تنفيذه حيث لا تزال هوياتهم ظاهرة، وهو ما يعني عادةً مجمّع VPN أو وكيلًا يصادق. يمكن لقاعدة جدار الحماية أن تسمح بالحركة؛ لكنها لا تستطيع استعادة تمييز أزالته الترجمة.
بمجرد السماح بعنوان البوابة هذا، يُسجَّل كل مستخدم بعيد تحت عنوان واحد، فتمنح القاعدة المجموعة كاملة لأي شخص يمكنه الوصول إلى البوابة. إذا كان القرار لكل مستخدم مهمًا، فأبقِ العناوين الأصلية ظاهرة أو انقل القرار إلى طبقة ما زالت تعرف المستخدم. وإلا فإن كل مستخدم بعيد يرث أذونات العنوان الوحيد الذي يراه الخادم، ولا يمكن لمسار التدقيق التمييز بينهم بعد ذلك. هذا قرار تصميم، وليس تفصيلًا في جدار الحماية.
اختر بين التصميمين بوعي. اربط القاعدة بمجموعة VPN الحقيقية عندما يجب أن يرى الخادم من اتصل، واقبل المسار المترجم فقط عندما لا يحتاج الخادم حقًا إلى تلك المعلومة. سجّل نطاق المصدر المختار بجوار القاعدة، لأن الشخص التالي الذي سيستكشف هذا سينظر إلى جدول العناوين أولًا.