Το LocalSubnet σε κανόνα τείχους προστασίας SMB δεν καλύπτει τους πελάτες VPN

Οι υπολογιστές γραφείου φτάνουν στον κοινόχρηστο φάκελο, οι χρήστες VPN λήγουν σε χρονικό όριο και ο ίδιος λογαριασμός λειτουργεί από hotspot κινητού. Τα δικαιώματα κοινής χρήσης σπάνια είναι η διαφορά· συνήθως είναι η διεύθυνση που φτάνει στον διακομιστή αρχείων. Ένας κανόνας περιορισμένος στο LocalSubnet επιτρέπει τα δικά του συνδεδεμένα υποδίκτυα του διακομιστή, και μια ξεχωριστά δρομολογημένη δεξαμενή VPN δεν είναι ένα από αυτά. Δύο σχεδιασμοί κλείνουν το κενό, και αφήνουν πολύ διαφορετικά αρχεία καταγραφής.

Δύο σχεδιασμοί, ένα σύμπτωμα

Ο πρώτος σχεδιασμός προσθέτει τη δεξαμενή VPN στη συνθήκη απομακρυσμένης διεύθυνσης του κανόνα. Ο διακομιστής τότε βλέπει τη διεύθυνση σήραγγας κάθε πελάτη, ώστε τα αρχεία του να μπορούν να ξεχωρίσουν έναν απομακρυσμένο χρήστη από έναν άλλο. Ο δεύτερος σχεδιασμός δρομολογεί την κίνηση VPN μέσω πύλης που τη μεταφράζει σε διεύθυνση LAN πριν τη δει ο διακομιστής. Αυτό αποκαθιστά τη συνδεσιμότητα και αφαιρεί τη διάκριση στο ίδιο βήμα.

Ο πίνακας περιγράφει ρόλους και όχι διευθύνσεις, και τα δικά σας προθέματα καθορίζουν ποια γραμμή ισχύει. Εκτυπώστε τις πραγματικές τιμές του διακομιστή αντί να αντιγράψετε ένα παράδειγμα από ανάρτηση ιστολογίου:

Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLength

Ο πίνακας είναι βοήθημα απόφασης, όχι ισχυρισμός για κάθε ανάπτυξη. Ένας κεντρικός υπολογιστής με πρόσθετες διεπαφές, δεύτερο σύνδεσμο τοποθεσίας ή διαφορετική μάσκα έχει διαφορετικό τοπικό σύνολο.

Η αναφορά του New-NetFirewallRule της Microsoft τεκμηριώνει τις συνθήκες απομακρυσμένης διεύθυνσης και τη λέξη-κλειδί LocalSubnet. Διαβάστε την πριν αποφασίσετε ότι η λέξη-κλειδί σημαίνει όλες τις ιδιωτικές διευθύνσεις, γιατί δεν σημαίνει.

Συγκρίνετε τι λαμβάνει πραγματικά ο διακομιστής

Διαβάστε τον ενεργό κανόνα αντί για εκείνον που θυμάται κάποιος ότι δημιούργησε. Ελέγξτε ότι είναι ενεργοποιημένος, ότι εφαρμόζεται στο ενεργό προφίλ και ότι η συνθήκη απομακρυσμένης διεύθυνσης ταιριάζει με την προέλευση που βλέπει ο διακομιστής. Ένας κανόνας ενεργοποιημένος μόνο στο προφίλ Τομέα δεν κάνει τίποτα όταν ο προσαρμογέας έχει περάσει στο Δημόσιο μετά από αλλαγή δικτύου.

Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Η πρώτη εντολή εκτυπώνει τα φίλτρα διευθύνσεων που συνδέονται με τους κανόνες κοινής χρήσης αρχείων, και η δεύτερη δείχνει ποια προφίλ είναι ενεργά και πώς αντιμετωπίζεται η μη αντιστοιχισμένη εισερχόμενη κίνηση. Αναζητήστε επίσης κανόνα αποκλεισμού και κεντρικά διαχειριζόμενη πολιτική. Οι κανόνες αποκλεισμού υπερισχύουν των κανόνων αποδοχής, και μια πολιτική που απενεργοποιεί τη συγχώνευση τοπικών κανόνων μπορεί να καταστήσει ανενεργή μια νέα τοπική εξαίρεση.

Αυτή είναι η περίπτωση όπου ο κανόνας φαίνεται σωστός στην κονσόλα και δεν έχει καμία επίδραση στην κίνηση. Ελέγξτε την ανάθεση προφίλ ταυτόχρονα, γιατί ένας φορητός υπολογιστής που συνδέθηκε σε άλλο δίκτυο μπορεί να περάσει στο Δημόσιο προφίλ χωρίς να αγγίξει κανείς το τείχος προστασίας.

Δοκιμάστε τη μεταφορά πριν από τη σύνδεση

Διαχωρίστε την προσβασιμότητα από την ταυτοποίηση. Ένας ακροατής στο TCP 445 αποδεικνύει ότι μια υπηρεσία είναι δεσμευμένη στη θύρα· δεν αποδεικνύει ότι ένα απομακρυσμένο πακέτο μπορεί να τη φτάσει. Μια ολοκληρωμένη σύνδεση TCP, με τη σειρά της, δεν λέει ακόμη τίποτα για τη ρύθμιση συνεδρίας SMB ή τα δικαιώματα κοινής χρήσης. Δοκιμάστε τη χειραψία και από τις δύο πλευρές πριν επεξεργαστείτε έναν κανόνα.

Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel Detailed

Η πρώτη εντολή αναφέρει αν μια χειραψία TCP πετυχαίνει από το μηχάνημα στο οποίο την εκτελείτε, και η δεύτερη προσθέτει τη διεύθυνση που επιλύθηκε και λεπτομέρειες διεπαφής. Εκτελέστε την από τον πελάτη VPN και από υπολογιστή γραφείου και συγκρίνετε. Το Ping δεν απαντά σε καμία από τις δύο ερωτήσεις, γιατί το ICMP μπορεί να αποκλείεται ενώ το SMB είναι ανοιχτό, ή να επιτρέπεται ενώ το τείχος προστασίας απορρίπτει το 445.

Αν η χειραψία αποτυγχάνει μόνο από το VPN, το πεδίο προέλευσης είναι ο κύριος ύποπτος. Αν πετυχαίνει και ο κοινόχρηστος φάκελος σας αρνείται ακόμη, περάστε στη διάγνωση συνεδρίας SMB και δικαιωμάτων αντί να επεξεργάζεστε κανόνες τείχους προστασίας.

Όταν το NAT προέλευσης αφαιρεί τη διάκριση

Με μετάφραση στη διαδρομή, ο διακομιστής δεν μπορεί να ξεχωρίσει μεμονωμένους πελάτες VPN με βάση τη διεύθυνση. Κάθε απομακρυσμένος χρήστης φτάνει ως η πύλη. Οποιαδήποτε εξουσιοδότηση εξαρτάται από το να τους ξεχωρίζει πρέπει να επιβάλλεται εκεί όπου οι ταυτότητές τους είναι ακόμη ορατές, που συνήθως σημαίνει τον συγκεντρωτή VPN ή έναν διαμεσολαβητή που ταυτοποιεί. Ο κανόνας τείχους προστασίας μπορεί να επιτρέψει κίνηση· δεν μπορεί να αποκαταστήσει μια διάκριση που αφαίρεσε η μετάφραση.

Μόλις επιτραπεί αυτή η διεύθυνση πύλης, κάθε απομακρυσμένος χρήστης καταγράφεται κάτω από μία μόνο διεύθυνση, ώστε ο κανόνας να παραχωρεί ολόκληρη τη δεξαμενή σε οποιονδήποτε μπορεί να φτάσει την πύλη. Αν μια απόφαση ανά χρήστη έχει σημασία, κρατήστε τις αρχικές διευθύνσεις ορατές ή μεταφέρετε την απόφαση σε επίπεδο που γνωρίζει ακόμη τον χρήστη. Διαφορετικά, κάθε απομακρυσμένος χρήστης κληρονομεί τα δικαιώματα της μόνης διεύθυνσης που βλέπει ο διακομιστής, και το ίχνος ελέγχου δεν μπορεί πλέον να τους ξεχωρίσει. Αυτή είναι απόφαση σχεδιασμού, όχι λεπτομέρεια του τείχους προστασίας.

Επιλέξτε συνειδητά ανάμεσα στους δύο σχεδιασμούς. Περιορίστε τον κανόνα στην πραγματική δεξαμενή VPN όταν ο διακομιστής πρέπει να βλέπει ποιος συνδέθηκε, και δεχθείτε τη μεταφρασμένη διαδρομή μόνο όταν ο διακομιστής πραγματικά δεν χρειάζεται αυτή την πληροφορία. Καταγράψτε το επιλεγμένο εύρος προέλευσης δίπλα στον κανόνα, γιατί το επόμενο άτομο που θα το αποσφαλματώσει θα κοιτάξει πρώτα τον πίνακα διευθύνσεων.