Vzdálená správa přes IIS Manager: nejprve zkontrolujte vlastní adresu WMSVC

Váš web odpovídá na 443 přes tunel a IIS Manager se přesto k serveru nepřipojí. Tyto dva výsledky si neodporují, protože web a koncový bod vzdálené správy jsou dva posluchače se dvěma konfiguracemi a dvěma sadami pravidel přístupu. Správcovský posluchač patří službě Web Management Service, WMSVC, a má vlastní adresu, port, certifikát a omezení IPv4. Zkontrolujte tento koncový bod, než se dotknete jediné trasy.

Dva posluchače, dva různé problémy

Požadavek na web dorazí do vazby HTTP.sys pro tento web, která se definuje pro každý web a každý protokol v konfiguraci applicationHost. Požadavek z IIS Manageru dorazí do WMSVC, který ve výchozím nastavení odpovídá HTTPS na TCP 8172 a konfiguruje se na úrovni serveru. Nic na vazbě webu nemění, kde WMSVC naslouchá, a nic ve WMSVC nemění, na kterou adresu web odpovídá. Sdílejí jeden stroj a jedno úložiště certifikátů, a tam podobnost končí.

Úspěšný Test-NetConnection na portu 443 tedy říká, že posluchač webu je dostupný, a vůbec nic o správě.

Najděte adresu, na kterou je WMSVC skutečně vázán

Zeptejte se serveru, na čem naslouchá nyní, ne na čem byl nakonfigurován naslouchat před lety. Get-NetTCPConnection -LocalPort 8172 -State Listen vypíše místní adresu a hodnota 0.0.0.0 nebo :: znamená všechny adresy, zatímco konkrétní adresa znamená jen tu. Pokud se u serveru změnilo adresování, posluchač stále připnutý k vyřazené adrese je přesně ta závada, kterou tato kontrola zachytí.

Nakonfigurovaná hodnota sídlí na stránce Management Service v IIS Manageru na uzlu serveru a za ní v administration.config v konfiguračním adresáři inetsrv. Porovnejte obojí: co říká soubor a k čemu je socket skutečně připoután.

Poté spusťte Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed z postiženého klienta VPN a přečtěte si přeloženou adresu a zvolenou zdrojovou adresu. Jiná odpověď DNS přes VPN je dost častá na to, aby se vyplatilo ji brzy vyloučit. Uložte si přesně toto jméno hostitele a port do tiketu, protože pozdější srovnání s jiným jménem nic nedokazuje o změně, kterou jste provedli.

Přečtěte si zdrojovou adresu, kterou server vidí

Omezení IPv4 ve WMSVC se vyhodnocují proti adrese, která dorazí na server, a to není vždy adresa, o které si váš notebook myslí, že ji má. Pokud se fond VPN někde na cestě překládá, server vidí přeloženou adresu a seznam povolených sestavený z vnitřní adresy klienta ji odmítne. To odmítnutí vypadá ze strany klienta jako selhání připojení, a proto se chybně diagnostikuje jako problém směrování.

Použijte podrobný výstup testu TCP a vlastní tabulku připojení serveru, abyste viděli, která zdrojová adresa skutečně dorazila, než upravíte seznam omezení.

Měňte vazbu jako změnu služby

WMSVC je nutné zastavit před úpravou jeho konfigurace, takže to naplánujte jako změnu s dostupnou jinou cestou správy, například konzolovým přístupem nebo vzdálenou relací, která nezávisí na IIS Manageru. Zastavte službu, použijte změnu adresy, portu nebo certifikátu, poté ji spusťte a potvrďte, že se posluchač přesunul. Kdokoli jiný používající vzdálenou správu IIS v tom okně ztratí relaci. Řekněte to ostatním správcům před otevřením okna; objevit to uprostřed změny je způsob, jak dva lidé skončí u úprav stejného posluchače.

Zvolit všechny adresy je legitimní možnost, ale berte to jako rozhodnutí o přístupu, ne jako zkratku. Rozšíření posluchače při otevřeném seznamu omezení je způsob, jak se správcovský koncový bod ocitne vystavený v síti, kterou nikdo nezamýšlel. Pokud má server několik síťových karet, omezuje posluchač na správcovské rozhraní, datovou cestu nechte být a potvrďte, že web stále odpovídá na své vlastní adrese.

Certifikát, který WMSVC předkládá, se vybírá odděleně od certifikátů webu. Pokud změníte adresu, potvrďte, že certifikát stále odpovídá jménu hostitele, které klienti používají, jinak připojení později selže v kroku TLS se stížností, která nemá se směrováním nic společného.

Oddělte dostupnost od důvěry a oprávnění

Jakmile TCP uspěje, zbývající závady jdou v pořadí: důvěra TLS pro správcovský certifikát, poté ověřování Windows, poté oprávnění IIS Manageru udělená tomu účtu. Každá z nich dává jinou chybu a žádnou neopraví trasa ani pravidlo firewallu. Čtěte text chyby doslova, místo abyste službu znovu restartovali.

Projděte čtyři kontroly v tomto pořadí, koncový bod, posluchač, zdrojová adresa, důvěra, a obvykle najdete zastaralou vazbu dřív, než najdete síťový problém.