LocalSubnet u SMB pravilu firewall-a neće pokriti VPN klijente
Pravilo dozvole LocalSubnet pokriva vlastite podmreže servera, a ne rutiranu VPN grupu. Usporedite izvornu adresu koju server vidi prije nego proširite opseg.
Uredski desktopi dolaze do dijeljenog resursa, VPN korisnici dobijaju istek vremena, a isti račun radi s mobilne pristupne točke. Dozvole dijeljenja rijetko su razlika; adresa koja stiže na datotečni server obično jest. Pravilo ograničeno na LocalSubnet propušta vlastite priključene podmreže servera, a odvojeno rutirana VPN grupa nije jedna od njih. Dva dizajna zatvaraju taj jaz i ostavljaju veoma različite zapise.
Dva dizajna, jedan simptom
Prvi dizajn dodaje VPN grupu u uvjet udaljene adrese pravila. Server tada vidi tunelsku adresu svakog klijenta, pa njegovi zapisi mogu razlikovati jednog udaljenog korisnika od drugog. Drugi dizajn usmjerava VPN promet kroz pristupnik koji ga prevodi u LAN adresu prije nego što ga server vidi. To vraća povezanost i uklanja razliku u istom koraku.
Tabela opisuje uloge, a ne adrese, a vaši vlastiti prefiksi odlučuju koji red vrijedi. Ispišite stvarne vrijednosti servera umjesto da kopirate primjer iz bloga:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTabela je pomoć pri odlučivanju, a ne tvrdnja o svakom postavljanju. Host s dodatnim sučeljima, drugom vezom prema lokaciji ili drugačijom maskom ima drugačiji lokalni skup.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoftov referenca New-NetFirewallRule dokumentuje uvjete udaljene adrese i ključnu riječ LocalSubnet. Pročitajte ga prije nego što zaključite da ključna riječ znači sve privatne adrese, jer ne znači.
Usporedite šta server zapravo prima
Čitajte važeće pravilo, a ne ono za koje se neko sjeća da ga je napravio. Provjerite je li omogućeno, primjenjuje li se na aktivni profil i odgovara li uvjet njegove udaljene adrese izvoru koji server vidi. Pravilo omogućeno samo na profilu Domene ne radi ništa kada adapter nakon promjene mreže pređe na profil Javno.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionPrva naredba ispisuje filtere adresa pridružene pravilima dijeljenja datoteka, a druga pokazuje koji su profili aktivni i kako se obrađuje neusklađeni dolazni promet. Potražite i pravilo blokiranja te centralno upravljanu politiku. Pravila blokiranja imaju prednost nad pravilima dozvole, a politika koja onemogućuje spajanje lokalnih pravila može učiniti novu lokalnu iznimku neaktivnom.
To je slučaj kada pravilo izgleda ispravno u konzoli i nema učinka na promet. Provjerite istovremeno i dodjelu profila, jer laptop koji se pridružio drugoj mreži može prijeći na profil Javno bez da iko dira firewall.
Testirajte prijenos prije prijave
Odvojite dostupnost od autentifikacije. Slušalac na TCP 445 dokazuje da je usluga vezana za port; ne dokazuje da udaljeni paket može do nje stići. Završena TCP veza, pak, još ništa ne govori o uspostavljanju SMB sesije ili dozvolama dijeljenja. Testirajte rukovanje s obje strane prije nego uredite pravilo.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedPrva naredba javlja da li TCP rukovanje uspijeva s računara na kojem je pokrenete, a druga dodaje razriješenu adresu i pojedinosti sučelja. Pokrenite je s VPN klijenta i s uredskog desktopa, pa uporedite. Ping ne odgovara ni na jedno pitanje, jer ICMP može biti blokiran dok je SMB otvoren, ili dozvoljen dok firewall odbacuje 445.
Ako rukovanje ne uspijeva samo s VPN-a, opseg izvora je glavni osumnjičeni. Ako uspije, a dijeljenje vas i dalje odbija, prijeđite na dijagnostiku SMB sesije i dozvola umjesto uređivanja pravila firewall-a.
Kada izvorni NAT ukloni razliku
Kada je prijevod na putu, server ne može razlikovati pojedinačne VPN klijente po adresi. Svaki udaljeni korisnik dolazi kao pristupnik. Svaka autorizacija koja ovisi od njihovog razlikovanja mora se provoditi tamo gdje su njihovi identiteti još vidljivi, što obično znači VPN koncentrator ili proxy koji provodi autentifikaciju. Pravilo firewall-a može propustiti promet; ne može vratiti razliku koju je prijevod uklonio.
Kada se ta adresa pristupnika dozvoli, svaki udaljeni korisnik se bilježi pod jednom adresom, pa pravilo dodjeljuje cijelu grupu svakome ko može doći do pristupnika. Ako je odluka po korisniku važna, zadržite izvorne adrese vidljivima ili premjestite odluku na sloj koji još zna korisnika. Inače svaki udaljeni korisnik nasljeđuje dozvole jedine adrese koju server vidi, a revizijski trag ih poslije ne može razlikovati. To je odluka o dizajnu, a ne detalj firewall-a.
Svjesno birajte između dva dizajna. Ograničite pravilo na stvarnu VPN grupu kada server mora vidjeti ko se povezao, a prihvatite prevedeni put samo kada serveru ta informacija zaista ne treba. Zapišite odabrani raspon izvora uz pravilo, jer će sljedeća osoba koja ovo bude otklanjala greške prvo pogledati tabelu adresa.