SMB firewall qaydasındakı LocalSubnet VPN müştərilərini əhatə etməyəcək
LocalSubnet icazə qaydası serverin öz alt şəbəkələrini əhatə edir, yönləndirilmiş VPN hovuzunu deyil. Əhatə dairəsini genişlətməzdən əvvəl serverin gördüyü mənbə ünvanını müqayisə edin.
Ofis iş stansiyaları paylaşmaya çatır, VPN istifadəçiləri vaxt aşımına düşür və eyni hesab telefon hotspotundan işləyir. Paylaşma icazələri nadir hallarda fərq yaradır; fayl serverinə çatan ünvan adətən fərqi yaradır. LocalSubnet ilə məhdudlaşdırılmış qayda serverin özünə qoşulmuş alt şəbəkələrə icazə verir və ayrıca yönləndirilmiş VPN hovuzu onlardan biri deyil. İki dizayn bu boşluğu bağlayır və çox fərqli qeydlər buraxır.
İki dizayn, bir simptom
Birinci dizayn VPN hovuzunu qaydanın uzaq ünvan şərtinə əlavə edir. Sonra server hər müştərinin tunel ünvanını görür, buna görə jurnalları bir uzaq istifadəçini digərindən ayıra bilir. İkinci dizayn VPN trafikini server görməzdən əvvəl onu LAN ünvanına çevirən şlüz vasitəsilə yönləndirir. Bu, bağlantını bərpa edir və ayrımı eyni addımda aradan qaldırır.
Cədvəl ünvanları deyil, rolları təsvir edir və hansı sətrin tətbiq olunduğunu öz prefiksləriniz müəyyən edir. Bloq yazısından nümunə kopyalamaq əvəzinə serverin real dəyərlərini çap edin:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthCədvəl qərar yardımçısıdır, hər yerləşdirmə haqqında iddia deyil. Əlavə interfeysləri, ikinci sayt bağlantısı və ya fərqli maskası olan hostun lokal çoxluğu fərqlidir.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft-un New-NetFirewallRule istinadı uzaq ünvan şərtlərini və LocalSubnet açar sözünü sənədləşdirir. Açar sözün bütün özəl ünvanlar demək olduğuna qərar verməzdən əvvəl onu oxuyun, çünki belə deyil.
Serverin həqiqətən nə aldığını müqayisə edin
Kimsənin yaratdığını xatırladığı qaydanı deyil, qüvvədə olan qaydanı oxuyun. Onun aktiv olduğunu, aktiv profilə tətbiq olunduğunu və uzaq ünvan şərtinin serverin gördüyü mənbəyə uyğun olduğunu yoxlayın. Yalnız Domen profilində aktiv olan qayda, şəbəkə dəyişikliyindən sonra adapter İctimai profilə keçdikdə heç nə etmir.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionBirinci əmr fayl paylaşma qaydalarına bağlı ünvan filtrlərini çap edir, ikincisi hansı profillərin aktiv olduğunu və uyğun gəlməyən gələn trafikin necə işləndiyini göstərir. Həmçinin bloklayıcı qayda və mərkəzləşdirilmiş idarə olunan siyasət axtarın. Blok qaydaları icazə qaydalarından üstündür və lokal qayda birləşdirməsini söndürən siyasət yeni lokal istisnanı təsirsiz edə bilər.
Bu, qaydanın konsolda düzgün göründüyü və trafikə heç bir təsiri olmadığı haldır. Profil təyinatını eyni vaxtda yoxlayın, çünki başqa şəbəkəyə qoşulmuş noutbuk heç kim firewall-a toxunmadan İctimai profilə keçə bilər.
Girişdən əvvəl nəqli yoxlayın
Əlçatanlığı autentifikasiyadan ayırın. TCP 445 üzərində dinləyici xidmətin porta bağlandığını sübut edir; uzaq paketin ora çata bildiyini sübut etmir. Tamamlanmış TCP bağlantısı isə SMB sessiyasının qurulması və ya paylaşma icazələri haqqında hələ heç nə demir. Qaydanı redaktə etməzdən əvvəl əl sıxışmanı hər iki tərəfdən yoxlayın.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedBirinci əmr TCP əl sıxışmasının onu işlətdiyiniz maşından uğur qazanıb-qazanmadığını bildirir, ikincisi həll olunmuş ünvanı və interfeys detallarını əlavə edir. Onu VPN müştərisindən və ofis iş stansiyasından işlədin, sonra müqayisə edin. Ping heç bir suala cavab vermir, çünki SMB açıq ikən ICMP bloklana bilər və ya firewall 445-i atarkən ICMP-yə icazə verilə bilər.
Əl sıxışma yalnız VPN-dən uğursuz olursa, mənbə əhatəsi əsas şübhəlidir. Uğur qazanır və paylaşma hələ də sizi rədd edirsə, firewall qaydalarını redaktə etmək əvəzinə SMB sessiyası və icazə diaqnostikasına keçin.
Mənbə NAT ayrımı aradan qaldırdıqda
Yolda çevirmə olduqda server fərdi VPN müştərilərini ünvana görə ayıra bilməz. Hər uzaq istifadəçi şlüz kimi gəlir. Onları ayırd etməkdən asılı olan istənilən avtorizasiya kimliklərinin hələ göründüyü yerdə tətbiq edilməlidir, bu da adətən VPN konsentratoru və ya autentifikasiya edən proksi deməkdir. Firewall qaydası trafikə icazə verə bilər; çevirmənin aradan qaldırdığı ayrımı bərpa edə bilməz.
Bu şlüz ünvanına icazə verildikdən sonra hər uzaq istifadəçi tək bir ünvan altında qeyd olunur, buna görə qayda bütün hovuzu şlüza çata bilən hər kəsə verir. İstifadəçi üzrə qərar vacibdirsə, orijinal ünvanları görünən saxlayın və ya qərarı istifadəçini hələ tanıyan qata köçürün. Əks halda hər uzaq istifadəçi serverin görə bildiyi tək ünvanın icazələrini miras alır və audit izi sonradan onları ayıra bilməz. Bu, firewall detalları deyil, dizayn qərarıdır.
İki dizayn arasında qəsdən seçim edin. Server kimin qoşulduğunu görməlidirsə qaydayı real VPN hovuzu ilə məhdudlaşdırın və çevrilmiş yola yalnız server bu məlumata həqiqətən ehtiyac duymadıqda icazə verin. Seçilmiş mənbə aralığını qaydanın yanında qeyd edin, çünki bunu növbəti dəfə sazlayan şəxs ilk növbədə ünvan cədvəlinə baxacaq.