IIS Manager remote: zuerst die eigene Adresse von WMSVC prüfen

Ihre Website antwortet über den Tunnel auf 443, und IIS Manager kann trotzdem keine Verbindung zum Server aufbauen. Diese beiden Ergebnisse sind kein Widerspruch, denn die Website und der Endpunkt für die Remoteverwaltung sind zwei Listener mit zwei Konfigurationen und zwei Regelsätzen für den Zugriff. Der Verwaltungslistener gehört zum Web Management Service, WMSVC, und hat eine eigene Adresse, einen eigenen Port, ein eigenes Zertifikat und eigene IPv4-Einschränkungen. Prüfen Sie diesen Endpunkt, bevor Sie eine einzige Route anfassen.

Zwei Listener, zwei verschiedene Probleme

Eine Anforderung an die Website erreicht die HTTP.sys-Bindung dieser Website, die pro Website und pro Protokoll in der applicationHost-Konfiguration definiert wird. Eine Anforderung von IIS Manager erreicht WMSVC, der standardmäßig HTTPS auf TCP 8172 beantwortet und auf Serverebene konfiguriert wird. Nichts an der Website-Bindung ändert, wo WMSVC lauscht, und nichts an WMSVC ändert, auf welcher Adresse die Website antwortet. Sie teilen sich eine Maschine und einen Zertifikatspeicher, und dort endet die Ähnlichkeit.

Ein erfolgreicher Test-NetConnection auf Port 443 sagt Ihnen also, dass der Listener der Website erreichbar ist, und überhaupt nichts über die Verwaltung.

Finden Sie die Adresse, an die WMSVC tatsächlich gebunden ist

Fragen Sie den Server, worauf er jetzt lauscht, nicht, worauf er vor Jahren konfiguriert wurde. Get-NetTCPConnection -LocalPort 8172 -State Listen gibt die lokale Adresse aus, und ein Wert von 0.0.0.0 oder :: bedeutet alle Adressen, während eine bestimmte Adresse nur diese eine bedeutet. Wenn die Adressierung eines Servers geändert wurde, ist ein Listener, der noch an einer stillgelegten Adresse hängt, genau der Fehler, den diese Prüfung erfasst.

Der konfigurierte Wert steht auf der Seite Management Service in IIS Manager am Serverknoten und dahinter in administration.config im Konfigurationsverzeichnis inetsrv. Vergleichen Sie beides: was die Datei sagt und woran der Socket tatsächlich gebunden ist.

Führen Sie dann Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed auf dem betroffenen VPN-Client aus und lesen Sie die aufgelöste Adresse und die ausgewählte Quelladresse. Eine andere DNS-Antwort über das VPN ist häufig genug, um sie früh auszuschließen. Halten Sie genau diesen Hostnamen und Port im Ticket fest, denn ein späterer Vergleich mit einem anderen Namen beweist nichts über die von Ihnen vorgenommene Änderung.

Lesen Sie die Quelladresse, die der Server sieht

Die IPv4-Einschränkungen von WMSVC werden gegen die Adresse geprüft, die am Server ankommt, und das ist nicht immer die Adresse, von der Ihr Laptop glaubt, sie zu haben. Wird der VPN-Pool irgendwo auf dem Weg übersetzt, sieht der Server die übersetzte Adresse, und eine Positivliste, die aus der inneren Adresse des Clients gebaut wurde, lehnt sie ab. Diese Ablehnung sieht auf der Clientseite wie ein Verbindungsfehler aus, weshalb sie fälschlich als Routingproblem diagnostiziert wird.

Nutzen Sie die ausführliche Ausgabe des TCP-Tests und die Verbindungstabelle des Servers selbst, um zu sehen, welche Quelladresse tatsächlich angekommen ist, bevor Sie die Einschränkungsliste bearbeiten.

Ändern Sie die Bindung als Serviceänderung

WMSVC muss gestoppt werden, bevor seine Konfiguration bearbeitet wird, also planen Sie es als Änderung mit einem weiteren verfügbaren Verwaltungsweg, etwa Konsolenzugriff oder eine Remotesitzung, die nicht von IIS Manager abhängt. Stoppen Sie den Dienst, wenden Sie die Änderung an Adresse, Port oder Zertifikat an, starten Sie ihn dann und bestätigen Sie, dass der Listener umgezogen ist. Jeder andere, der die Remoteverwaltung von IIS nutzt, verliert in diesem Fenster seine Sitzung. Sagen Sie es den anderen Administratoren, bevor das Fenster aufgeht; es mitten in der Änderung zu entdecken, ist der Weg, auf dem zwei Personen denselben Listener bearbeiten.

Alle Adressen zu wählen ist eine legitime Option, aber behandeln Sie es als Zugriffsentscheidung und nicht als Abkürzung. Den Listener zu erweitern, während die Einschränkungsliste offen bleibt, ist der Weg, auf dem ein Verwaltungsendpunkt in einem Netz landet, das niemand vorgesehen hat. Hat der Server mehrere Netzwerkkarten, beschränken Sie den Listener auf die Verwaltungsschnittstelle, lassen Sie den Datenpfad in Ruhe und bestätigen Sie, dass die Website weiterhin auf ihrer eigenen Adresse antwortet.

Das Zertifikat, das WMSVC vorzeigt, wird getrennt von den Zertifikaten der Website gewählt. Wenn Sie die Adresse ändern, bestätigen Sie, dass das Zertifikat noch zum Hostnamen der Clients passt, sonst scheitert die Verbindung später beim TLS-Schritt mit einer Beschwerde, die nichts mit dem Routing zu tun hat.

Trennen Sie Erreichbarkeit von Vertrauen und Berechtigungen

Sobald TCP gelingt, sind die verbleibenden Fehler geordnet: TLS-Vertrauen für das Verwaltungszertifikat, dann die Windows-Authentifizierung, dann die dem Konto erteilten IIS Manager-Berechtigungen. Jeder davon erzeugt einen anderen Fehler, und keiner wird durch eine Route oder eine Firewallregel behoben. Lesen Sie den Fehlertext wörtlich, statt den Dienst erneut neu zu starten.

Arbeiten Sie die vier Prüfungen in dieser Reihenfolge ab, Endpunkt, Listener, Quelladresse, Vertrauen, und Sie finden die veraltete Bindung meist, bevor Sie ein Netzwerkproblem finden.