SMB-palomuurin säännön LocalSubnet ei kata VPN-asiakkaita
LocalSubnet-sallintasääntö kattaa palvelimen omat aliverkot, ei reititettyä VPN-poolia. Vertaa lähdeosoitetta, jonka palvelin näkee, ennen kuin laajennat laajuutta.
Toimiston työasemat pääsevät jakoon, VPN-käyttäjät aikakatkaistaan ja sama tili toimii puhelimen hotspotista. Jakamisen käyttöoikeudet ovat harvoin ero; tiedostopalvelimelle saapuva osoite on yleensä se. Sääntö, joka on rajattu arvoon LocalSubnet, sallii palvelimen omat liitetyt aliverkot, eikä erikseen reititetty VPN-pooli ole yksi niistä. Kaksi mallia sulkee aukon, ja ne jättävät hyvin erilaiset lokit.
Kaksi mallia, yksi oire
Ensimmäinen malli lisää VPN-poolin säännön etäosoiteehtoon. Palvelin näkee silloin jokaisen asiakkaan tunneliosoitteen, joten sen lokit voivat erottaa yhden etäkäyttäjän toisesta. Toinen malli reitittää VPN-liikenteen yhdyskäytävän kautta, joka muuntaa sen LAN-osoitteeksi ennen kuin palvelin näkee sen. Tämä palauttaa yhteyden ja poistaa erottelun samassa vaiheessa.
Taulukko kuvaa rooleja eikä osoitteita, ja omat etuliitteesi päättävät, mikä rivi pätee. Tulosta palvelimen todelliset arvot sen sijaan, että kopioisit esimerkin blogikirjoituksesta:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTaulukko on päätöksen apuväline, ei väite jokaisesta käyttöönotosta. Isännällä, jolla on lisärajapintoja, toinen sivustolinkki tai eri peite, on erilainen paikallinen joukko.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoftin New-NetFirewallRule-viite dokumentoi etäosoiteehdot ja LocalSubnet-avainsanan. Lue se ennen kuin päätät, että avainsana tarkoittaa kaikkia yksityisiä osoitteita, koska se ei tarkoita.
Vertaa, mitä palvelin todella vastaanottaa
Lue voimassa oleva sääntö, älä sitä, jonka joku muistaa luoneensa. Tarkista, että se on käytössä, että se koskee aktiivista profiilia ja että sen etäosoiteehto vastaa lähdettä, jonka palvelin näkee. Vain toimialueprofiilissa käytössä oleva sääntö ei tee mitään, kun sovitin on verkkomuutoksen jälkeen siirtynyt julkiseen profiiliin.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionEnsimmäinen komento tulostaa tiedostojakosääntöihin liitetyt osoitesuodattimet, ja toinen näyttää, mitkä profiilit ovat aktiivisia ja miten täsmäämätöntä saapuvaa liikennettä käsitellään. Etsi myös estosääntöä ja keskitetysti hallittua käytäntöä. Estosäännöt ovat sallintasääntöjä ensisijaisia, ja käytäntö, joka poistaa paikallisten sääntöjen yhdistämisen käytöstä, voi tehdä uudesta paikallisesta poikkeuksesta vaikutuksettoman.
Tämä on tapaus, jossa sääntö näyttää konsolissa oikealta eikä vaikuta liikenteeseen. Tarkista profiilimääritys samalla, koska toiseen verkkoon liittynyt kannettava voi siirtyä julkiseen profiiliin, ilman että kukaan koskee palomuuriin.
Testaa kuljetus ennen kirjautumista
Erota tavoitettavuus todennuksesta. TCP 445:n kuuntelija todistaa, että palvelu on sidottu porttiin; se ei todista, että etäpaketti voi tavoittaa sen. Valmis TCP-yhteys puolestaan ei vielä kerro mitään SMB-istunnon muodostamisesta tai jakamisen käyttöoikeuksista. Testaa kättely molemmilta puolilta ennen säännön muokkaamista.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedEnsimmäinen komento kertoo, onnistuuko TCP-kättely koneesta, jolla sen suoritat, ja toinen lisää selvitetyt osoite- ja liitäntätiedot. Suorita se VPN-asiakkaasta ja toimiston työasemasta ja vertaa. Ping ei vastaa kumpaankaan kysymykseen, koska ICMP voi olla estetty, kun SMB on auki, tai sallittu, kun palomuuri pudottaa 445:n.
Jos kättely epäonnistuu vain VPN:stä, lähdeosoitealue on pääepäilty. Jos se onnistuu ja jako yhä hylkii sinut, siirry SMB-istunnon ja käyttöoikeuksien diagnosointiin sen sijaan, että muokkaisit palomuurisääntöjä.
Kun lähde-NAT poistaa erottelun
Kun polulla on muunnos, palvelin ei voi erottaa yksittäisiä VPN-asiakkaita osoitteen perusteella. Jokainen etäkäyttäjä saapuu yhdyskäytävänä. Kaikki valtuutus, joka riippuu heidän erottamisestaan, on pakotettava siellä, missä heidän identiteettinsä ovat vielä näkyvissä, mikä yleensä tarkoittaa VPN-keskitintä tai todennusta tekevää välityspalvelinta. Palomuurisääntö voi sallia liikenteen; se ei voi palauttaa erottelua, jonka muunnos poisti.
Kun tuo yhdyskäytäväosoite on sallittu, jokainen etäkäyttäjä kirjataan yhden osoitteen alle, joten sääntö myöntää koko poolin kenelle tahansa, joka pääsee yhdyskäytävään. Jos päätös käyttäjäkohtaisesti on tärkeä, pidä alkuperäiset osoitteet näkyvinä tai siirrä päätös kerrokseen, joka vielä tuntee käyttäjän. Muuten jokainen etäkäyttäjä perii sen ainoan osoitteen käyttöoikeudet, jonka palvelin näkee, eikä auditointijälki voi enää erottaa heitä. Tämä on suunnittelupäätös, ei palomuurin yksityiskohta.
Valitse tietoisesti kahden mallin välillä. Rajaa sääntö todelliseen VPN-pooliin, kun palvelimen on nähtävä, kuka yhdisti, ja hyväksy muunnettu polku vain, kun palvelin todella ei tarvitse sitä tietoa. Kirjaa valittu lähdealue säännön viereen, koska seuraava tätä debuggaava henkilö katsoo ensin osoitetaulukkoa.