SMB tulemüürireegli LocalSubnet ei kata VPN-kliente
LocalSubneti lubamisreegel katab serveri enda alamvõrgud, mitte marsruuditud VPN-kogumi. Enne ulatuse laiendamist võrrelge lähteaadressi, mida server näeb.
Kontori töölauad jõuavad jagatud kaustani, VPN-i kasutajad saavad ajalõpu ja sama konto töötab telefonihotspotist. Jagamise õigused on harva see erinevus; tavaliselt on selleks failiserverini jõudev aadress. Reegel, mis on piiratud väärtusega LocalSubnet, lubab serveri enda ühendatud alamvõrke, ja eraldi marsruuditud VPN-kogum ei ole üks neist. Kaks lahendust sulgevad selle lünga ja jätavad väga erinevad kirjed.
Kaks lahendust, üks sümptom
Esimene lahendus lisab VPN-kogumi reegli kaugema aadressi tingimusse. Seejärel näeb server iga kliendi tunneliaadressi, nii et selle logid suudavad üht kaugkasutajat teisest eristada. Teine lahendus suunab VPN-liikluse lüüsi kaudu, mis teisendab selle LAN-aadressiks enne, kui server seda näeb. See taastab ühenduvuse ja kõrvaldab eristuse samas sammus.
Tabel kirjeldab rolle, mitte aadresse, ja teie enda prefiksid otsustavad, milline rida kehtib. Printige serveri tegelikud väärtused, selle asemel et kopeerida näidet blogipostitusest:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTabel on otsustusabi, mitte väide iga juurutuse kohta. Hostil, millel on lisaliidesed, teine saidilink või teistsugune mask, on teistsugune kohalik hulk.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsofti New-NetFirewallRule'i viide dokumenteerib kaugema aadressi tingimused ja märksõna LocalSubnet. Lugege seda enne, kui otsustate, et märksõna tähendab kõiki privaatseid aadresse, sest see ei tähenda.
Võrrelge, mida server tegelikult vastu võtab
Lugege kehtivat reeglit, mitte seda, mille keegi mäletab olevat loonud. Kontrollige, et see on lubatud, et see kehtib aktiivse profiili kohta ja et selle kaugema aadressi tingimus vastab lähtele, mida server näeb. Ainult domeeni profiilis lubatud reegel ei tee midagi, kui adapter on pärast võrgu muutust läinud üle avalikku profiili.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionEsimene käsk prindib failijagamise reeglitega seotud aadressifiltrid ja teine näitab, millised profiilid on aktiivsed ning kuidas käsitletakse mittevastavat sissetulevat liiklust. Otsige ka blokeerivat reeglit ja tsentraalselt hallatavat poliitikat. Blokeerivatel reeglitel on lubamisreeglite ees prioriteet, ja poliitika, mis keelab kohalike reeglite liitmise, võib muuta uue kohaliku erandi mõjutuks.
See on juhtum, kus reegel näeb konsoolis õige välja ja sellel pole liiklusele mingit mõju. Kontrollige samal ajal profiili määramist, sest teise võrku liitunud sülearvuti võib ilma kellegi tulemüüri puutumiseta liikuda avalikku profiili.
Testige transporti enne sisselogimist
Eraldage kättesaadavus autentimisest. Kuulaja pordil TCP 445 tõestab, et teenus on pordiga seotud; see ei tõesta, et kaugpakett selleni jõuab. Lõpetatud TCP-ühendus ei ütle omakorda veel midagi SMB-seansi loomise ega jagamisõiguste kohta. Testige kätlust mõlemalt poolt enne reegli muutmist.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedEsimene käsk teavitab, kas TCP-kätlus õnnestub masinast, millel te seda käivitate, ja teine lisab lahendatud aadressi ja liidese üksikasjad. Käivitage see VPN-kliendist ja kontori töölaualt ning võrrelge. Ping ei vasta kummalelegi küsimusele, sest ICMP võib olla blokeeritud, kui SMB on avatud, või lubatud, kui tulemüür viskab 445 kõrvale.
Kui kätlus ebaõnnestub ainult VPN-ist, on lähteulatus peamine kahtlusalune. Kui see õnnestub ja jagamine keeldub teid endiselt, minge SMB-seansi ja õiguste diagnoosimise juurde, mitte tulemüürireeglite muutmise juurde.
Kui lähte-NAT eemaldab eristuse
Kui teel on teisendus, ei saa server üksikuid VPN-kliente aadressi järgi eristada. Iga kaugkasutaja saabub lüüsina. Igasugune autoriseerimine, mis sõltub nende eristamisest, tuleb jõustada seal, kus nende identiteedid on veel nähtavad, mis tavaliselt tähendab VPN-kontsentraatorit või autentivat puhverserverit. Tulemüürireegel võib liiklust lubada; see ei saa taastada eristust, mille teisendus eemaldas.
Kui see lüüsi aadress on lubatud, registreeritakse iga kaugkasutaja ühe aadressi alla, nii et reegel annab kogu kogumi kõigile, kes lüüsini jõuavad. Kui otsus kasutaja kohta on oluline, hoidke algseid aadresse nähtavana või viige otsus kihti, mis tunneb kasutajat endiselt. Vastasel juhul pärib iga kaugkasutaja selle ühe aadressi õigused, mida server näeb, ja auditijälg ei suuda neid hiljem eristada. See on disainiotsus, mitte tulemüüri detail.
Valige kahe lahenduse vahel teadlikult. Piirake reegel tegeliku VPN-kogumiga, kui server peab nägema, kes ühendus, ja aktsepteerige teisendatud teed ainult siis, kui serveril seda teavet tõesti ei ole vaja. Kirjutage valitud lähtevahemik reegli kõrvale, sest järgmine inimene, kes seda siluma hakkab, vaatab kõigepealt aadressitabelit.