Отдалечено администриране с IIS Manager: първо проверете собствения адрес на WMSVC

Сайтът ви отговаря на 443 през тунела, а IIS Manager все още не може да се свърже със сървъра. Тези два резултата не си противоречат, защото уебсайтът и крайната точка за отдалечено администриране са два слушателя с две конфигурации и два набора правила за достъп. Управляващият слушател принадлежи на Уеб услугата за управление, WMSVC, и има свой адрес, порт, сертификат и IPv4 ограничения. Проверете тази крайна точка, преди да пипнете дори един маршрут.

Два слушателя, два различни проблема

Заявка към сайта достига HTTP.sys връзката за този сайт, която се дефинира за всеки сайт и всеки протокол в конфигурацията applicationHost. Заявка от IIS Manager достига до WMSVC, който по подразбиране отговаря по HTTPS на TCP 8172 и се конфигурира на ниво сървър. Нищо в сайтовата връзка не променя къде слуша WMSVC и нищо в WMSVC не променя на кой адрес отговаря сайтът. Те споделят една машина и едно хранилище за сертификати и точно там приликата свършва.

И така, успешен Test-NetConnection на порт 443 ви казва, че слушателят на сайта е достъпен, и абсолютно нищо за управлението.

Намерете адреса, към който WMSVC всъщност е вързан

Питайте сървъра на какво слуша сега, а не на какво е бил конфигуриран да слуша преди години. Get-NetTCPConnection -LocalPort 8172 -State Listen отпечатва локалния адрес, а стойност 0.0.0.0 или :: означава всички адреси, докато конкретен адрес означава само него. Ако адресацията на сървъра е била променяна, слушател, все още закачен за изведен от употреба адрес, е точно повредата, която тази проверка хваща.

Конфигурираната стойност живее на страницата на Управляващата услуга в IIS Manager на сървърния възел, а зад нея — в administration.config в конфигурационната директория inetsrv. Сравнете двете: какво казва файлът и към какво всъщност е вързан сокетът.

След това изпълнете Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed от засегнатия VPN клиент и прочетете разрешения адрес и избрания адрес на източника. Различен отговор от DNS през VPN е достатъчно често явление, за да си струва да го изключите рано. Запазете точно това име на хост и порт в заявката, защото по-късно сравнение с друго име не доказва нищо за промяната, която сте направили.

Прочетете адреса на източника, който сървърът вижда

IPv4 ограниченията на WMSVC се оценяват спрямо адреса, който пристига на сървъра, а това не винаги е адресът, който вашият лаптоп смята, че има. Ако VPN пулът се трансформира някъде по пътя, сървърът вижда трансформирания адрес и списък с разрешения, изграден от вътрешния адрес на клиента, ще го отхвърли. Това отхвърляне изглежда като повреда на връзката от страната на клиента и затова погрешно се диагностицира като проблем с маршрутизацията.

Използвайте подробния изход от TCP теста плюс собствената таблица на връзките на сървъра, за да видите кой адрес на източника всъщност е пристигнал, преди да редактирате списъка с ограничения.

Променяйте връзката като промяна на услуга

WMSVC трябва да бъде спрян, преди конфигурацията му да бъде редактирана, така че планирайте това като промяна с наличен друг път за управление, например конзолен достъп или отдалечена сесия, която не зависи от IIS Manager. Спрете услугата, приложете промяната на адрес, порт или сертификат, след това я стартирайте и потвърдете, че слушателят се е преместил. Всеки друг, който използва отдалечено администриране на IIS, губи сесията си в този прозорец. Кажете на другите администратори, преди прозорецът да се отвори; откриването му по средата на промяната е начинът, по който двама души започват да редактират един и същ слушател.

Избирането на всички адреси е законна опция, но я третирайте като решение за достъп, а не като пряк път. Разширяването на слушателя, докато списъкът с ограничения остава отворен, е начинът, по който една управляваща крайна точка се озовава изложена в мрежа, която никой не е имал предвид. Ако сървърът има няколко мрежови карти, ограничете слушателя до управляващия интерфейс, оставете пътя на данните на мира и потвърдете, че сайтът все още отговаря на собствения си адрес.

Сертификатът, който WMSVC представя, се избира отделно от сертификатите на сайта. Ако промените адреса, потвърдете, че сертификатът все още съвпада с името на хоста, което клиентите използват, иначе връзката ще се провали по-късно на TLS стъпката с оплакване, което няма нищо общо с маршрутизацията.

Отделете достъпността от доверието и правата

След като TCP успее, останалите повреди са подредени: TLS доверие за сертификата за управление, после Windows удостоверяване, после правата на IIS Manager, дадени на този акаунт. Всяко от тях дава различна грешка и нито едно не се поправя с маршрут или правило на защитната стена. Четете текста на грешката буквално, вместо да рестартирате услугата отново.

Изпълнете четирите проверки в този ред — крайна точка, слушател, адрес на източника, доверие — и обикновено ще намерите остарялата връзка, преди да намерите мрежов проблем.