SMB suebaki-erregelako LocalSubnetek ez ditu VPN bezeroak estaliko
LocalSubnet baimen-erregela batek zerbitzariaren beraren azpisareak estaltzen ditu, ez VPN multzo bideratua. Zabaltzen hasi aurretik alderatu zerbitzariak ikusten duen iturburu-helbidea.
Bulegoko mahaigainek partekatzea lortzen dute, VPN erabiltzaileei denbora agortzen zaie, eta kontu berak telefonoko hotspotetik funtzionatzen du. Partekatze-baimenak gutxitan dira aldea; fitxategi-zerbitzarira iristen den helbidea izaten da aldea. LocalSubnet-ra mugatutako erregela batek zerbitzariaren beraren azpisare konektatuak onartzen ditu, eta bereiz bideratutako VPN multzoa ez da horietako bat. Bi diseinuk hutsune hori ixten dute, eta oso erregistro desberdinak uzten dituzte.
Bi diseinu, sintoma bat
Lehen diseinuak VPN multzoa gehitzen dio erregelaren urruneko helbidearen baldintzari. Orduan zerbitzariak bezero bakoitzaren tunel-helbidea ikusten du, beraz bere erregistroek urruneko erabiltzaile bat bestetik bereiz dezakete. Bigarren diseinuak VPN trafikoa pasabide batetik bideratzen du, eta pasabideak LAN helbide bihurtzen du zerbitzariak ikusi aurretik. Horrek konektibitatea leheneratzen du eta bereizketa urrats berean kentzen du.
Taulak rolei buruz ari da, ez helbideei buruz, eta zure aurrizkiek erabakitzen dute zein errenkada aplikatzen den. Inprimatu zerbitzariaren benetako balioak, blogeko sarrera bateko adibidea kopiatu beharrean:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTaula erabakitzeko lagungarria da, ez inplementazio bakoitzari buruzko baieztapena. Interfaze gehigarriak, bigarren gune-esteka edo maskara desberdina dituen ostalariak beste tokiko multzo bat du.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft-en New-NetFirewallRule erreferentzia dokumentuak urruneko helbidearen baldintzak eta LocalSubnet gako-hitza dokumentatzen ditu. Irakurri ezazu gako-hitzak helbide pribatu guztiak esan nahi dituela erabaki aurretik, ez baitu esan nahi.
Alderatu zerbitzariak benetan jasotzen duena
Irakurri indarrean dagoen erregela, norbaitek sortu zuela gogoratzen duenaren ordez. Egiaztatu gaituta dagoela, profil aktiboari aplikatzen zaiola eta urruneko helbidearen baldintza zerbitzariak ikusten duen iturburuarekin bat datorrela. Domeinu profilean soilik gaitutako erregelak ez du ezer egiten egokitzailea sare-aldaketaren ondoren Publiko profilera pasa denean.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionLehen komandoak fitxategiak partekatzeko erregelei lotutako helbide-iragazkiak inprimatzen ditu, eta bigarrenak zein profil dauden aktibo eta bat ez datozen sarrerako trafikoa nola tratatzen den erakusten du. Bilatu blokeo-errege bat eta zentralki kudeatutako politika ere. Blokeo-erregelek baimen-erregelei lehentasuna hartzen diete, eta tokiko erregelen bateratzea desgaitzen duen politikak tokiko salbuespen berria eraginik gabe utz dezake.
Hau da erregela kontsolan zuzena dirudien eta trafikoan eraginik ez duen kasua. Egiaztatu profilaren esleipena aldi berean, beste sare batera batu den ordenagailu eramangarria Publiko profilera pasa baitaiteke inork suebakia ukitu gabe.
Probatu garraioa saioa hasi aurretik
Bereizi irisgarritasuna autentifikaziotik. TCP 445eko entzule batek frogatzen du zerbitzu bat portuari lotuta dagoela; ez du frogatzen urruneko pakete batek hura irietsi dezakeenik. Osatutako TCP konexioak, aldiz, oraindik ez du ezer esaten SMB saioa ezartzeaz edo partekatze-baimenez. Probatu eskuko agurra bi aldeetatik erregela bat editatu aurretik.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedLehen komandoak jakinarazten du TCP eskuko agurra lortzen den exekutatzen duzun makinatik, eta bigarrenak ebatzitako helbidea eta interfazearen xehetasunak gehitzen ditu. Exekutatu VPN bezerotik eta bulegoko mahaigain batetik, eta alderatu. Pingek ez dio bi galderetako bati ere erantzuten, ICMP blokeatuta egon baitaiteke SMB irekita dagoen bitartean, edo baimenduta suebakiak 445 baztertzen duen bitartean.
Eskuko agurra VPNetik soilik huts egiten badu, iturburu-esparrua da susmagarri nagusia. Lortzen bada eta partekatzeak ukatzen jarraitzen badizute, joan SMB saioaren eta baimenen diagnostikora suebaki-erregelak editatu beharrean.
Iturburu-NATak bereizketa kentzen duenean
Bidean itzulpena dagoenean, zerbitzariak ezin ditu VPN bezero indibidualak helbidez bereizi. Urruneko erabiltzaile bakoitza pasabide gisa iristen da. Haiek bereiztearen mende dagoen edozein baimen haien identitateak oraindik ikusgai dauden tokian aplikatu behar da, eta horrek normalean VPN kontzentratzailea edo autentifikatzen duen proxy bat esan nahi du. Suebaki-erregelak trafikoa onar dezake; ezin du itzulpenak kendutako bereizketa leheneratu.
Pasabidearen helbide hori onartuta, urruneko erabiltzaile bakoitza helbide bakar baten pean erregistratzen da, beraz erregelak multzo osoa ematen dio pasabidera irits daitekeen edonori. Erabiltzaile bakoitzeko erabakia garrantzitsua bada, mantendu jatorrizko helbideak ikusgai edo eraman erabakia erabiltzailea oraindik ezagutzen duen maila batera. Bestela urruneko erabiltzaile bakoitzak zerbitzariak ikus dezakeen helbide bakarraren baimenak heredatzen ditu, eta auditoretza-arrastuak ezin ditu gero bereizi. Diseinu-erabakia da, ez suebakiaren xehetasuna.
Aukeratu kontzienteki bi diseinuen artean. Mugatu erregela benetako VPN multzora zerbitzariak nor konektatu zen ikusi behar duenean, eta onartu itzulitako bidea zerbitzariak informazio hori benetan behar ez duenean soilik. Idatzi hautatutako iturburu-tartea erregelaren ondoan, hau araztuko duen hurrengo pertsonak helbide-taula begiratuko baitu lehenik.