Ní chlúdóidh LocalSubnet i riail bhalla dóiteáin SMB cliaint VPN

Sroicheann deasca oifige an acmhainn roinnte, téann úsáideoirí VPN in am amach, agus oibríonn an cuntas céanna ó hotspot fón póca. Is annamh gurb é ceadanna na roinnte an difríocht; is é an seoladh a shroicheann an freastalaí comhad de ghnáth. Ligeann riail atá teorainn le LocalSubnet isteach fo-líonraí ceangailte an fhreastalaí féin, agus ní fo-líonra den chineál sin é comhthiomsú VPN ródaithe ar leithligh. Dúnann dhá dhearadh an bhearna, agus fágtar taifid an-difriúla ina ndiaidh.

Dhá dhearadh, comhartha amháin

Cuireann an chéad dearadh comhthiomsú an VPN le coinníoll seoladh cianda na rialach. Feiceann an freastalaí seoladh tolláin gach cliaint ansin, mar sin is féidir lena logaí úsáideoir cianda amháin a dheighilt ó úsáideoir eile. Seolann an dara dearadh trácht VPN trí gheata a aistríonn go seoladh LAN é sula bhfeiceann an freastalaí é. Athshocraíonn sé sin an nasc agus baineann sé an t-idirdhealú sa chéim chéanna.

Déanann an tábla cur síos ar róil seachas ar sheoltaí, agus is iad do réimíreanna féin a chinneann cén ró a bhaineann. Priontáil fíorluachanna an fhreastalaí seachas sampla a chóipeáil ó phost blag:

Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLength

Is áis chinnteoireachta é an tábla, ní ráiteas faoi gach imscaradh. Tá tacar áitiúil difriúil ag óstach a bhfuil comhéadain bhreise, dara nasc suímh nó masc eile aige.

Déanann tagairt New-NetFirewallRule de chuid Microsoft cur síos ar choinníollacha seoladh cianda agus ar an eochairfhocal LocalSubnet. Léigh é sula gcinneann tú go gciallaíonn an eochairfhocal gach seoladh príobháideach, mar ní dhéanann sé sin.

Déan comparáid le ruda a fhaigheann an freastalaí i ndáiríre

Léigh an riail éifeachtach seachas an riail a cheap duine éigin a chruthaigh. Seiceáil go bhfuil sí cumasaithe, go mbaineann sí leis an bpróifíl ghníomhach, agus go bhfuil a coinníoll seoladh cianda ag teacht leis an bhfoinse a fheiceann an freastalaí. Ní dhéanann riail atá cumasaithe ar phróifíl Domain amháin aon rud nuair a shleamhnaigh an t-adapter go Public tar éis athrú líonra.

Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Priontálann an chéad ordú na scagairí seoladh atá ceangailte leis na rialacha comhroinnte comhad, agus taispeánann an dara ceann cé na próifílí atá gníomhach agus conas a láimhseáiltear trácht ionchuir nach bhfuil comhoiriúnach. Cuardaigh riail bhlocála agus beartas arna bhainistiú go lárnach freisin. Bíonn tosaíocht ag rialacha blocála thar rialacha ceadaithe, agus is féidir le beartas a dhíghníomhaíonn cumasc rialacha áitiúla eisceacht áitiúil nua a fhágáil gan éifeacht.

Sin an cás ina bhféachann an riail ceart sa chonsól agus nach bhfuil aon éifeacht aici ar thrácht. Seiceáil an t-atreorú próifíle ag an am céanna, mar is féidir le ríomhaire glúine a chuaigh isteach i líonra eile bogadh go próifíl Public gan duine ar bith an balla dóiteáin a bhaint de.

Tástáil an t-iompar roimh an logáil isteach

Deighil inrochtaineacht ó fhíordheimhniú. Cruthaíonn éisteoir ar TCP 445 go bhfuil seirbhís ceangailte leis an gcalafort; ní chruthaíonn sé gur féidir le paicéad cianda é a shroicheadh. Ní deir nasc TCP críochnaithe, ar a seal, aon rud fós faoi shocrú seisiúin SMB nó faoi cheadanna roinnte. Tástáil an croitheadh láimhe ón dá thaobh sula ndéanann tú riail a chur in eagar.

Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel Detailed

Tuairiscíonn an chéad ordú an n-éiríonn le croitheadh láimhe TCP ón meaisín a rithfidh tú é, agus cuireann an dara ceann an seoladh réitithe agus sonraí comhéadain leis. Rith é ó chliant VPN agus ó dheasc oifige, ansin déan comparáid. Ní fhreagraíonn ping ceachtar ceist, mar is féidir ICMP a bhlocáil agus SMB oscailte, nó a cheadú agus an balla dóiteáin ag sileadh 445.

Má theipeann ar an croitheadh láimhe ón VPN amháin, is é scóip na foinse an príomh-amhras. Má éiríonn leis agus má dhiúltaíonn an acmhainn roinnte duit fós, téigh chuig diagnóis seisiúin agus ceadanna SMB seachas rialacha balla dóiteáin a chur in eagar.

Nuair a bhaineann NAT foinse an t-idirdhealú

Nuair a bhíonn aistriú sa chonair, ní féidir leis an bhfreastalaí cliaint VPN aonair a idirdhealú de réir seoladh. Tagann gach úsáideoir cianda isteach mar an geata. Ní mór aon údarú a bhraitheann ar iad a idirdhealú a fhorghníomhú san áit a bhfuil a bhféiniúlachtaí fós le feiceáil, rud a chiallaíonn de ghnáth an tiúchtóir VPN nó seachfhreastalaí fíordheimhniúcháin. Is féidir le riail an bhalla dóiteáin trácht a ligean isteach; ní féidir léi idirdhealú a d'fhág aistriú imithe a athchóiriú.

Chomh luath agus a cheadaítear an seoladh geata sin, taifeadtar gach úsáideoir cianda faoi aon seoladh amháin, mar sin tugann an riail an comhthiomsú iomlán d'aon duine a shroicheann an geata. Má tá tábhacht le cinneadh in aghaidh an úsáideora, coimeád na seoltaí bunaidh le feiceáil nó bog an cinneadh go dtí sraith a bhfuil aithne fós aici ar an úsáideoir. Seachas sin faigheann gach úsáideoir cianda ceadanna an aon seoladh amháin a fheiceann an freastalaí, agus ní féidir leis an rian iniúchóireachta iad a idirdhealú ina dhiaidh sin. Is cinneadh deartha é sin, ní sonra balla dóiteáin.

Roghnaigh go comhfhiosach idir an dá dhearadh. Cuir scóip na rialach chuig an bhfíorchomhthiomsú VPN nuair a chaithfidh an freastalaí a fheiceáil cé a nasc, agus glac leis an gconair aistrithe amháin nuair nach bhfuil an t-eolas sin de dhíth go fírinneach ar an bhfreastalaí. Taifead an raon foinse roghnaithe in aice leis an riail, mar féachfaidh an chéad duine eile a dhéanfaidh dífhabhtú air seo ar an tábla seoladh ar dtús.