LocalSubnet v pravidle brány firewall SMB nebude pokrývat klienty VPN
Pravidlo povolení LocalSubnet pokrývá vlastní podsítě serveru, nikoli směrovaný fond VPN. Porovnejte zdrojovou adresu, kterou server vidí, než rozšíříte rozsah.
Kancelářské počítače se dostanou ke sdílené složce, uživatelé VPN vyprší časový limit a stejný účet funguje z mobilního hotspotu. Oprávnění ke sdílení jsou málokdy tím rozdílem; obvykle jím je adresa, která dorazí na souborový server. Pravidlo omezené na LocalSubnet povoluje vlastní připojené podsítě serveru a samostatně směrovaný fond VPN mezi ně nepatří. Dva návrhy tuto mezeru uzavírají a zanechávají velmi odlišné záznamy.
Dva návrhy, jeden příznak
První návrh přidá fond VPN do podmínky vzdálené adresy pravidla. Server pak vidí tunelovou adresu každého klienta, takže jeho protokoly mohou odlišit jednoho vzdáleného uživatele od druhého. Druhý návrh směruje provoz VPN přes bránu, která jej přeloží na adresu LAN, než jej server uvidí. To obnoví konektivitu a ve stejném kroku odstraní rozlišení.
Tabulka popisuje role, nikoli adresy, a o tom, který řádek platí, rozhodují vaše vlastní prefixy. Vypište skutečné hodnoty serveru místo kopírování příkladu z blogového příspěvku:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTabulka je pomůcka pro rozhodování, nikoli tvrzení o každém nasazení. Hostitel s dalšími rozhraními, druhým spojem na lokalitu nebo jinou maskou má jinou místní sadu.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
referenční dokumentace New-NetFirewallRule od Microsoftu dokumentuje podmínky vzdálené adresy a klíčové slovo LocalSubnet. Přečtěte si ji, než se rozhodnete, že klíčové slovo znamená všechny privátní adresy, protože neznamená.
Porovnejte, co server skutečně přijímá
Čtěte platné pravidlo, ne to, které si někdo pamatuje, že vytvořil. Zkontrolujte, zda je povolené, zda se vztahuje na aktivní profil a zda jeho podmínka vzdálené adresy odpovídá zdroji, který server vidí. Pravidlo povolené jen v profilu Doména nic nedělá, když adaptér po změně sítě přešel do profilu Veřejný.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionPrvní příkaz vypíše filtry adres připojené k pravidlům sdílení souborů a druhý ukáže, které profily jsou aktivní a jak se zpracovává neodpovídající příchozí provoz. Hledejte také blokovací pravidlo a centrálně spravovanou zásadu. Blokovací pravidla mají přednost před pravidly povolení a zásada, která zakazuje slučování místních pravidel, může novou místní výjimku učinit neúčinnou.
To je případ, kdy pravidlo v konzoli vypadá správně a na provoz nemá žádný vliv. Zkontrolujte zároveň přiřazení profilu, protože notebook, který se připojil k jiné síti, může přejít do profilu Veřejný, aniž by se kdokoli dotkl brány firewall.
Otestujte transport před přihlášením
Oddělte dosažitelnost od ověřování. Naslouchač na TCP 445 dokazuje, že služba je svázána s portem; nedokazuje, že se k němu vzdálený paket dostane. Dokončené připojení TCP zase zatím nic neříká o navázání relace SMB ani o oprávněních ke sdílení. Otestujte handshake z obou stran, než pravidlo upravíte.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedPrvní příkaz hlásí, zda handshake TCP uspěje ze stroje, na kterém jej spouštíte, a druhý přidává přeloženou adresu a podrobnosti rozhraní. Spusťte jej z klienta VPN a z kancelářského počítače a porovnejte. Ping neodpovídá ani na jednu z otázek, protože ICMP může být blokováno, zatímco SMB je otevřené, nebo povoleno, zatímco brána firewall zahazuje 445.
Pokud handshake selhává jen z VPN, je rozsah zdroje hlavním podezřelým. Pokud uspěje a sdílená složka vás stále odmítá, přejděte k diagnostice relace SMB a oprávnění místo úprav pravidel brány firewall.
Když zdrojový NAT odstraní rozlišení
Když je v cestě překlad, server nemůže jednotlivé klienty VPN rozlišit podle adresy. Každý vzdálený uživatel přichází jako brána. Jakákoli autorizace, která závisí na jejich rozlišení, se musí vynutit tam, kde jsou jejich identity stále viditelné, což obvykle znamená koncentrátor VPN nebo ověřující proxy. Pravidlo brány firewall může provoz povolit; nemůže obnovit rozlišení, které překlad odstranil.
Jakmile je tato adresa brány povolena, každý vzdálený uživatel se zaznamená pod jedinou adresou, takže pravidlo udělí celý fond komukoli, kdo se k bráně dostane. Pokud záleží na rozhodnutí pro jednotlivé uživatele, ponechte původní adresy viditelné nebo přesuňte rozhodnutí do vrstvy, která uživatele stále zná. Jinak každý vzdálený uživatel zdědí oprávnění jediné adresy, kterou server vidí, a auditní stopa je už nedokáže rozlišit. To je rozhodnutí o návrhu, nikoli detail brány firewall.
Vědomě volte mezi oběma návrhy. Omezte pravidlo na skutečný fond VPN, když server musí vidět, kdo se připojil, a přijměte přeloženou cestu jen tehdy, když server tyto informace skutečně nepotřebuje. Poznamenejte zvolený rozsah zdroje vedle pravidla, protože příští člověk, který to bude ladit, se nejprve podívá na tabulku adres.