Απομακρυσμένη διαχείριση με IIS Manager: ελέγξτε πρώτα τη διεύθυνση του ίδιου του WMSVC

Ο ιστότοπός σας απαντά στη θύρα 443 μέσω της σήραγγας και το IIS Manager εξακολουθεί να μην μπορεί να συνδεθεί στον διακομιστή. Τα δύο αποτελέσματα δεν είναι αντίφαση, γιατί ο ιστότοπος και το τελικό σημείο απομακρυσμένης διαχείρισης είναι δύο ακροατές με δύο ρυθμίσεις και δύο σύνολα κανόνων πρόσβασης. Ο ακροατής διαχείρισης ανήκει στην Υπηρεσία Διαχείρισης Ιστού, WMSVC, και έχει δική του διεύθυνση, θύρα, πιστοποιητικό και περιορισμούς IPv4. Ελέγξτε αυτό το τελικό σημείο πριν αγγίξετε έστω μία διαδρομή.

Δύο ακροατές, δύο διαφορετικά προβλήματα

Ένα αίτημα προς τον ιστότοπο φτάνει στη δέσμευση HTTP.sys για αυτόν τον ιστότοπο, η οποία ορίζεται ανά ιστότοπο και ανά πρωτόκολλο στη ρύθμιση applicationHost. Ένα αίτημα από το IIS Manager φτάνει στο WMSVC, το οποίο από προεπιλογή απαντά HTTPS στην TCP 8172 και ρυθμίζεται σε επίπεδο διακομιστή. Τίποτα στη δέσμευση του ιστότοπου δεν αλλάζει πού ακούει το WMSVC, και τίποτα στο WMSVC δεν αλλάζει σε ποια διεύθυνση απαντά ο ιστότοπος. Μοιράζονται ένα μηχάνημα και ένα χώρο αποθήκευσης πιστοποιητικών, και εκεί τελειώνει η ομοιότητα.

Έτσι, ένα επιτυχές Test-NetConnection στη θύρα 443 σας λέει ότι ο ακροατής του ιστότοπου είναι προσβάσιμος, και απολύτως τίποτα για τη διαχείριση.

Βρείτε τη διεύθυνση στην οποία είναι πραγματικά δεσμευμένο το WMSVC

Ρωτήστε τον διακομιστή σε τι ακούει τώρα, όχι σε τι είχε ρυθμιστεί να ακούει πριν χρόνια. Get-NetTCPConnection -LocalPort 8172 -State Listen εκτυπώνει την τοπική διεύθυνση, και μια τιμή 0.0.0.0 ή :: σημαίνει όλες τις διευθύνσεις, ενώ μια συγκεκριμένη διεύθυνση σημαίνει μόνο εκείνη. Αν η διευθυνσιοδότηση ενός διακομιστή έχει αλλάξει, ένας ακροατής που είναι ακόμη καρφιτσωμένος σε αποσυρμένη διεύθυνση είναι ακριβώς η βλάβη που πιάνει αυτός ο έλεγχος.

Η ρυθμισμένη τιμή βρίσκεται στη σελίδα Management Service του IIS Manager στον κόμβο του διακομιστή, και πίσω από αυτήν στο administration.config στον κατάλογο ρυθμίσεων inetsrv. Συγκρίνετε τα δύο: τι λέει το αρχείο και σε τι είναι πραγματικά δεσμευμένο το socket.

Στη συνέχεια εκτελέστε Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed από τον επηρεαζόμενο πελάτη VPN και διαβάστε τη διεύθυνση που επιλύθηκε και τη διεύθυνση προέλευσης που επιλέχθηκε. Μια διαφορετική απάντηση DNS μέσω VPN είναι αρκετά συνηθισμένη ώστε να αξίζει να αποκλειστεί νωρίς. Κρατήστε ακριβώς αυτό το όνομα κεντρικού υπολογιστή και τη θύρα στο δελτίο, γιατί μια μεταγενέστερη σύγκριση με άλλο όνομα δεν αποδεικνύει τίποτα για την αλλαγή που κάνατε.

Διαβάστε τη διεύθυνση προέλευσης που βλέπει ο διακομιστής

Οι περιορισμοί IPv4 του WMSVC αξιολογούνται με βάση τη διεύθυνση που φτάνει στον διακομιστή, και δεν είναι πάντα η διεύθυνση που ο φορητός σας υπολογιστής νομίζει ότι έχει. Αν το σύνολο VPN μεταφράζεται κάπου στη διαδρομή, ο διακομιστής βλέπει τη μεταφρασμένη διεύθυνση και μια λίστα επιτρεπόμενων που χτίστηκε από την εσωτερική διεύθυνση του πελάτη θα την απορρίψει. Αυτή η απόρριψη φαίνεται από την πλευρά του πελάτη ως αποτυχία σύνδεσης, γι' αυτό διαγιγνώσκεται λανθασμένα ως πρόβλημα δρομολόγησης.

Χρησιμοποιήστε την αναλυτική έξοδο της δοκιμής TCP και τον πίνακα συνδέσεων του ίδιου του διακομιστή για να δείτε ποια διεύθυνση προέλευσης έφτασε πραγματικά πριν επεξεργαστείτε τη λίστα περιορισμών.

Αλλάξτε τη δέσμευση ως αλλαγή υπηρεσίας

Το WMSVC πρέπει να σταματήσει πριν επεξεργαστεί η ρύθμισή του, οπότε σχεδιάστε το ως αλλαγή με άλλη διαθέσιμη δίοδο διαχείρισης, όπως πρόσβαση κονσόλας ή απομακρυσμένη συνεδρία που δεν εξαρτάται από το IIS Manager. Σταματήστε την υπηρεσία, εφαρμόστε την αλλαγή διεύθυνσης, θύρας ή πιστοποιητικού, μετά ξεκινήστε την και επιβεβαιώστε ότι ο ακροατής μετακινήθηκε. Όποιος άλλος χρησιμοποιεί απομακρυσμένη διαχείριση IIS χάνει τη συνεδρία του σε αυτό το παράθυρο. Πείτε το στους άλλους διαχειριστές πριν ανοίξει το παράθυρο· το να το ανακαλύψετε στα μισά της αλλαγής είναι ο τρόπος με τον οποίο δύο άνθρωποι καταλήγουν να επεξεργάζονται τον ίδιο ακροατή.

Η επιλογή όλων των διευθύνσεων είναι νόμιμη επιλογή, αλλά αντιμετωπίστε την ως απόφαση πρόσβασης και όχι ως συντόμευση. Η διεύρυνση του ακροατή ενώ η λίστα περιορισμών μένει ανοιχτή είναι ο τρόπος με τον οποίο ένα τελικό σημείο διαχείρισης εκτίθεται σε δίκτυο που κανείς δεν είχε σκοπό. Αν ο διακομιστής έχει πολλές κάρτες δικτύου, περιορίστε τον ακροατή στη διεπαφή διαχείρισης, αφήστε τη διαδρομή δεδομένων ήσυχη και επιβεβαιώστε ότι ο ιστότοπος εξακολουθεί να απαντά στη δική του διεύθυνση.

Το πιστοποιητικό που παρουσιάζει το WMSVC επιλέγεται χωριστά από τα πιστοποιητικά του ιστότοπου. Αν αλλάξετε τη διεύθυνση, επιβεβαιώστε ότι το πιστοποιητικό ταιριάζει ακόμη με το όνομα κεντρικού υπολογιστή που χρησιμοποιούν οι πελάτες, αλλιώς η σύνδεση θα αποτύχει αργότερα στο βήμα TLS με παράπονο που δεν έχει καμία σχέση με τη δρομολόγηση.

Διαχωρίστε την προσβασιμότητα από την εμπιστοσύνη και τα δικαιώματα

Μόλις το TCP πετύχει, οι υπόλοιπες αστοχίες είναι διατεταγμένες: εμπιστοσύνη TLS για το πιστοποιητικό διαχείρισης, μετά έλεγχος ταυτότητας Windows, μετά τα δικαιώματα IIS Manager που δόθηκαν σε αυτόν τον λογαριασμό. Καθένα παράγει διαφορετικό σφάλμα και κανένα δεν διορθώνεται από διαδρομή ή κανόνα τείχους προστασίας. Διαβάστε το κείμενο του σφάλματος κυριολεκτικά αντί να επανεκκινήσετε την υπηρεσία.

Εκτελέστε τους τέσσερις ελέγχους με αυτή τη σειρά, τελικό σημείο, ακροατής, διεύθυνση προέλευσης, εμπιστοσύνη, και συνήθως θα βρείτε την παρωχημένη δέσμευση πριν βρείτε πρόβλημα δικτύου.