Gweinyddu IIS Manager o bell: gwiriwch gyfeiriad WMSVC ei hun yn gyntaf

Mae eich safle'n ateb ar 443 drwy'r tiwnel, ac eto ni all IIS Manager gysylltu â'r gweinydd. Nid yw'r ddau ganlyniad hyn yn groes i'w gilydd, oherwydd mae'r wefan a'r pwynt terfyn gweinyddu o bell yn ddau wrandawr â dwy ffurfwedd a dwy set o reolau mynediad. Mae'r gwrandawr rheoli'n perthyn i'r Web Management Service, WMSVC, ac mae ganddo ei gyfeiriad, porth, tystysgrif a chyfyngiadau IPv4 ei hun. Gwiriwch y pwynt terfyn hwnnw cyn cyffwrdd ag unrhyw lwybr.

Dau wrandawr, dau broblem wahanol

Mae cais i'r safle'n cyrraedd rhwymiad HTTP.sys y safle hwnnw, sy'n cael ei ddiffinio fesul safle a fesul protocol yn y ffurfweddiad applicationHost. Mae cais o IIS Manager yn cyrraedd WMSVC, sydd fel arfer yn ateb HTTPS ar TCP 8172 ac yn cael ei ffurfweddu ar lefel y gweinydd. Nid oes dim yn rhwymiad y safle'n newid ble mae WMSVC yn gwrando, ac nid oes dim yn WMSVC yn newid pa gyfeiriad y mae'r safle'n ateb arno. Maent yn rhannu un peiriant ac un storfa dystysgrifau, a dyna lle mae'r tebygrwydd yn gorffen.

Felly mae Test-NetConnection llwyddiannus ar borth 443 yn dweud wrthych fod gwrandawr y safle'n gyrraeddadwy, a dim byd o gwbl am reoli.

Dewch o hyd i'r cyfeiriad y mae WMSVC wedi'i rwymo iddo mewn gwirionedd

Gofynnwch i'r gweinydd ar beth mae'n gwrando nawr, nid ar beth y cafodd ei ffurfweddu i wrando flynyddoedd yn ôl. Get-NetTCPConnection -LocalPort 8172 -State Listen sy'n argraffu'r cyfeiriad lleol, ac mae gwerth 0.0.0.0 neu :: yn golygu pob cyfeiriad, tra bod cyfeiriad penodol yn golygu dim ond hwnnw. Os yw cyfeiriadaeth gweinydd wedi newid, mae gwrandawr sy'n dal i fod wedi'i binio i gyfeiriad sydd wedi'i ymddeol yn union y methiant y mae'r gwiriad hwn yn ei ddal.

Mae'r gwerth ffurfweddedig yn byw ar dudalen Management Service yn IIS Manager ar nod y gweinydd, ac y tu ôl iddo yn administration.config o dan y cyfeiriadur ffurfweddu inetsrv. Cymharwch y ddau: beth mae'r ffeil yn ei ddweud, a beth mae'r soced wedi'i rwymo iddo mewn gwirionedd.

Yna rhedwch Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed o'r cleient VPN yr effeithiwyd arno a darllenwch y cyfeiriad a ddatrysir a'r cyfeiriad ffynhonnell a ddewiswyd. Mae ateb DNS gwahanol ar y VPN yn ddigon cyffredin i fod yn werth ei ddiystyru'n gynnar. Cadwch yr union enw gwesteiwr a phorth yn y tocyn, oherwydd nid yw cymhariaeth ddiweddarach ag enw gwahanol yn profi dim am y newid a wnaethoch.

Darllenwch y cyfeiriad ffynhonnell y mae'r gweinydd yn ei weld

Mae cyfyngiadau IPv4 WMSVC yn cael eu gwerthuso yn erbyn y cyfeiriad sy'n cyrraedd y gweinydd, ac nid dyma'r cyfeiriad y mae eich gliniadur yn credu sydd ganddo bob amser. Os yw'r pwll VPN yn cael ei gyfieithu rywle ar hyd y llwybr, mae'r gweinydd yn gweld y cyfeiriad cyfieithiedig a bydd rhestr ganiatáu a adeiladwyd o gyfeiriad mewnol y cleient yn ei wrthod. Mae'r gwrthodiad hwnnw'n edrych fel methiant cysylltiad o ochr y cleient, a dyna pam mae'n cael ei gamasesu fel llwybro.

Defnyddiwch allbwn manwl y prawf TCP, ynghyd â thabl cysylltiadau'r gweinydd ei hun, i weld pa gyfeiriad ffynhonnell a gyrhaeddodd mewn gwirionedd cyn i chi olygu'r rhestr gyfyngiadau.

Newidiwch y rhwymiad fel newid gwasanaeth

Rhaid stopio WMSVC cyn golygu ei ffurfweddiad, felly cynlluniwch hyn fel newid gyda llwybr rheoli arall ar gael, fel mynediad consol neu sesiwn o bell nad yw'n dibynnu ar IIS Manager. Stopiwch y gwasanaeth, cymhwyswch y newid cyfeiriad, porth neu dystysgrif, yna ei gychwyn a chadarnhau bod y gwrandawr wedi symud. Bydd unrhyw un arall sy'n defnyddio gweinyddu IIS o bell yn colli ei sesiwn yn ystod y ffenestr honno. Dywedwch wrth y gweinyddwyr eraill cyn i'r ffenestr agor; darganfod hynny yng nghanol y newid yw sut mae dau berson yn gorffen golygu'r un gwrandawr.

Mae dewis pob cyfeiriad yn opsiwn cyfreithlon, ond triniwch ef fel penderfyniad mynediad yn hytrach na llwybr byr. Ehangu'r gwrandawr tra bod y rhestr gyfyngiadau'n parhau'n agored yw sut mae pwynt terfyn rheoli'n gorffen yn agored ar rwydwaith na fwriadodd neb. Os oes gan y gweinydd sawl cerdyn rhwydwaith, cyfyngwch y gwrandawr i'r rhyngwyneb rheoli, gadewch lwybr y data'n llonydd, a chadarnhewch fod y safle'n dal i ateb ar ei gyfeiriad ei hun.

Mae'r dystysgrif y mae WMSVC yn ei chyflwyno'n cael ei dewis ar wahân i dystysgrifau'r safle. Os newidiwch y cyfeiriad, cadarnhewch fod y dystysgrif yn dal i gyd-fynd â'r enw gwesteiwr y mae cleientiaid yn ei ddefnyddio, neu bydd y cysylltiad yn methu'n ddiweddarach yn y cam TLS gyda chwyn nad oes ganddo ddim i'w wneud â llwybro.

Gwahanwch gyrhaeddiad oddi wrth ymddiriedaeth a chaniatadau

Unwaith y bydd TCP yn llwyddo, mae'r methiannau sy'n weddill mewn trefn: ymddiriedaeth TLS ar gyfer y dystysgrif reoli, yna dilysu Windows, yna caniatadau IIS Manager a roddwyd i'r cyfrif hwnnw. Mae pob un yn cynhyrchu gwall gwahanol, ac ni chaiff yr un ohonynt ei drwsio gan lwybr na rheol mur gwarchod. Darllenwch destun y gwall yn llythrennol yn lle ailgychwyn y gwasanaeth eto.

Ewch drwy'r pedwar gwiriad yn y drefn honno, pwynt terfyn, gwrandawr, cyfeiriad ffynhonnell, ymddiriedaeth, a byddwch fel arfer yn dod o hyd i'r rhwymiad hen ffasiwn cyn dod o hyd i broblem rwydwaith.