Ni fydd LocalSubnet mewn rheol wal dân SMB yn cwmpasu cleientiaid VPN
Mae rheol caniatáu LocalSubnet yn cwmpasu is-rwydweithiau'r gweinydd ei hun, nid cronfa VPN wedi'i llwybro. Cymharwch y cyfeiriad ffynhonnell a wel y gweinydd cyn ehangu'r cwmpas.
Mae desgiau'r swyddfa yn cyrraedd y rhannu, mae defnyddwyr VPN yn rhedeg allan o amser, ac mae'r un cyfrif yn gweithio o fan cyswllt ffôn. Anaml y gwahaniaeth yw'r caniatadau rhannu; y cyfeiriad sy'n cyrraedd y gweinydd ffeil yw'r gwahaniaeth fel arfer. Mae rheol wedi'i chwmpasu i LocalSubnet yn caniatáu is-rwydweithiau ymlyniadol y gweinydd ei hun, ac nid yw cronfa VPN wedi'i llwybro ar wahân yn un ohonynt. Mae dau ddyluniad yn cau'r bwlch, ac maent yn gadael cofnodion tra gwahanol.
Dau ddyluniad, un symptom
Mae'r dyluniad cyntaf yn ychwanegu'r gronfa VPN at gyflwr cyfeiriad pell y rheol. Yna mae'r gweinydd yn gweld cyfeiriad twnnel pob cleient, felly gall ei gofnodion wahanu un defnyddiwr pell oddi wrth y llall. Mae'r ail ddyluniad yn llwybro traffig VPN trwy borth sy'n ei gyfieithu i gyfeiriad LAN cyn i'r gweinydd ei weld. Mae hynny'n adfer cysylltedd ac yn dileu'r gwahaniaeth yn yr un cam.
Mae'r tabl yn disgrifio rolau yn hytrach na chyfeiriadau, a'ch rhagddodiaid eich hun sy'n penderfynu pa res sy'n berthnasol. Argraffwch werthoedd gwirioneddol y gweinydd yn lle copïo enghraifft o golofn flog:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthOfferyn penderfynu yw'r tabl, nid honiad am bob defnyddiad. Mae gan westeiwr â rhyngwynebau ychwanegol, ail gyswllt safle neu fwgwd gwahanol set leol wahanol.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Mae cyfeirlyfr New-NetFirewallRule Microsoft yn dogfennu'r cyflyrau cyfeiriad pell a'r allweddair LocalSubnet. Darllenwch ef cyn penderfynu bod yr allweddair yn golygu pob cyfeiriad preifat, oherwydd nid yw.
Cymharwch yr hyn y mae'r gweinydd yn ei dderbyn mewn gwirionedd
Darllenwch y rheol effeithiol yn lle'r un y mae rhywun yn cofio ei chreu. Gwiriwch ei bod wedi'i galluogi, ei bod yn berthnasol i'r proffil gweithredol, a bod ei chyflwr cyfeiriad pell yn cyfateb i'r ffynhonnell a wel y gweinydd. Nid yw rheol a alluogir yn y proffil Parth yn unig yn gwneud dim pan fydd yr addasydd wedi llithro i Gyhoeddus ar ôl newid rhwydwaith.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionMae'r gorchymyn cyntaf yn argraffu'r hidlwyr cyfeiriad sydd ynghlwm wrth reolau rhannu ffeiliau, a'r ail yn dangos pa broffiliau sy'n weithredol a sut y caiff traffig mewnol nad yw'n cyfateb ei drin. Chwiliwch hefyd am reol rwystro ac am bolisi a reolir yn ganolog. Mae rheolau rhwystro'n cael blaenoriaeth dros reolau caniatáu, a gall polisi sy'n analluogi uno rheolau lleol wneud eithriad lleol newydd yn aneffeithiol.
Dyma'r achos lle mae'r rheol yn edrych yn gywir yn y consol ac heb unrhyw effaith ar draffig. Gwiriwch y neilltuo proffil ar yr un pryd, oherwydd gall gliniadur a ymunodd â rhwydwaith arall symud i'r proffil Cyhoeddus heb i neb gyffwrdd â'r wal dân.
Profwch y cludiant cyn y mewngofnodi
Gwahanwch gyrhaeddedd oddi wrth ddilysu. Mae gwrandawr ar TCP 445 yn profi bod gwasanaeth wedi'i rwymo i'r porth; nid yw'n profi y gall pecyn pell gyrraedd yno. Nid yw cysylltiad TCP wedi'i gwblhau, yn ei dro, yn dweud dim eto am osod sesiwn SMB na chaniatadau rhannu. Profwch yr ysgwyd llaw o'r ddwy ochr cyn i chi olygu rheol.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedMae'r gorchymyn cyntaf yn adrodd a yw ysgwyd llaw TCP yn llwyddo o'r peiriant rydych yn ei redeg arno, a'r ail yn ychwanegu'r cyfeiriad a ddatryswyd a manylion y rhyngwyneb. Rhedwch ef o'r cleient VPN ac o ddesg swyddfa, yna cymharwch. Nid yw Ping yn ateb y naill gwestiwn na'r llall, oherwydd gall ICMP gael ei rwystro tra bo SMB ar agor, neu gael ei ganiatáu tra bo'r wal dân yn gollwng 445.
Os yw'r ysgwyd llaw yn methu o'r VPN yn unig, cwmpas y ffynhonnell yw'r prif amheuyn. Os yw'n llwyddo ac mae'r rhannu yn dal i'ch gwrthod, ewch at ddiagnosis sesiwn SMB a chaniatadau yn hytrach nag olygu rheolau wal dân.
Pan fo NAT ffynhonnell yn dileu'r gwahaniaeth
Gyda chyfieithu yn y llwybr, ni all y gweinydd wahaniaethu rhwng cleientiaid VPN unigol yn ôl cyfeiriad. Mae pob defnyddiwr pell yn cyrraedd fel y porth. Rhaid gorfodi unrhyw awdurdodiad sy'n dibynnu ar eu gwahaniaethu lle mae eu hunaniaethau yn dal i fod yn weladwy, sy'n golygu'r canolwyr VPN neu ddirprwy sy'n dilysu fel arfer. Gall y rheol wal dân ganiatáu traffig; ni all adfer gwahaniaeth a ddilewyd gan gyfieithu.
Unwaith y caniateir y cyfeiriad porth hwnnw, cofnodir pob defnyddiwr pell o dan un cyfeiriad, felly mae'r rheol yn rhoi'r gronfa gyfan i unrhyw un a all gyrraedd y porth. Os yw penderfyniad fesul defnyddiwr yn bwysig, cadwch y cyfeiriadau gwreiddiol yn weladwy neu symudwch y penderfyniad i haen sy'n dal i adnabod y defnyddiwr. Fel arall mae pob defnyddiwr pell yn etifeddu caniatadau'r un cyfeiriad y gall y gweinydd ei weld, ac ni all y trywydd archwilio eu gwahaniaethu ar ôl hynny. Penderfyniad dylunio yw hwn, nid manylyn wal dân.
Dewiswch yn fwriadol rhwng y dau ddyluniad. Cwmpaswch y rheol i'r gronfa VPN wirioneddol pan fo'n rhaid i'r gweinydd weld pwy a gysylltodd, a derbyniwch y llwybr cyfieithiedig yn unig pan nad oes wir angen y wybodaeth honno ar y gweinydd. Cofnodwch yr ystod ffynhonnell a ddewiswyd wrth ymyl y rheol, oherwydd bydd y person nesaf i ddadfygio hyn yn edrych ar y tabl cyfeiriadau yn gyntaf.