Udaljena administracija u IIS Manageru: prvo provjerite vlastitu adresu WMSVC-a

Vaša stranica odgovara na 443 kroz tunel, a IIS Manager se ipak ne može spojiti na poslužitelj. Ta dva rezultata nisu proturječna jer su web stranica i krajnja točka udaljene administracije dva slušatelja s dvije konfiguracije i dva skupa pravila pristupa. Upravljački slušatelj pripada servisu Web Management Service, WMSVC, i ima vlastitu adresu, port, certifikat i IPv4 ograničenja. Provjerite tu krajnju točku prije nego dotaknete ijednu rutu.

Dva slušatelja, dva različita problema

Zahtjev prema stranici stiže do HTTP.sys povezivanja za tu stranicu, koje se definira po stranici i po protokolu u konfiguraciji applicationHost. Zahtjev iz IIS Managera stiže do WMSVC-a, koji prema zadanim postavkama odgovara HTTPS-om na TCP 8172 i konfigurira se na razini poslužitelja. Ništa u povezivanju stranice ne mijenja gdje WMSVC sluša, a ništa u WMSVC-u ne mijenja na koju adresu stranica odgovara. Dijele jedno računalo i jedno spremište certifikata, i tu sličnost prestaje.

Dakle, uspješan Test-NetConnection na portu 443 govori vam da je slušatelj stranice dostupan, i baš ništa o upravljanju.

Pronađite adresu na koju je WMSVC stvarno vezan

Pitajte poslužitelj što sada sluša, a ne što je bio konfiguriran slušati prije godina. Get-NetTCPConnection -LocalPort 8172 -State Listen ispisuje lokalnu adresu, a vrijednost 0.0.0.0 ili :: znači sve adrese, dok određena adresa znači samo tu. Ako je poslužitelju promijenjeno adresiranje, slušatelj koji je još prikvačen na umirovljenu adresu upravo je kvar koji ova provjera hvata.

Konfigurirana vrijednost nalazi se na stranici Management Service u IIS Manageru na čvoru poslužitelja, a iza nje u administration.config u konfiguracijskom direktoriju inetsrv. Usporedite oboje: što datoteka kaže i na što je socket stvarno vezan.

Zatim pokrenite Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed s pogođenog VPN klijenta i pročitajte razriješenu adresu i odabranu izvornu adresu. Drugačiji DNS odgovor na VPN-u dovoljno je čest da ga vrijedi rano isključiti. Zapišite točno to ime hosta i port u tiket, jer kasnija usporedba s drugim imenom ne dokazuje ništa o promjeni koju ste napravili.

Pročitajte izvornu adresu koju poslužitelj vidi

WMSVC-ova IPv4 ograničenja ocjenjuju se prema adresi koja stigne na poslužitelj, a to nije uvijek adresa za koju vaš prijenosnik misli da je ima. Ako se VPN pool negdje na putu prevodi, poslužitelj vidi prevedenu adresu i popis dopuštenih koji je izgrađen od klijentove unutarnje adrese odbit će je. To odbijanje izgleda kao neuspjeh veze s klijentove strane, zato se pogrešno dijagnosticira kao problem usmjeravanja.

Upotrijebite detaljni izlaz TCP testa i vlastitu tablicu veza poslužitelja da vidite koja je izvorna adresa stvarno stigla prije nego uredite popis ograničenja.

Mijenjajte povezivanje kao promjenu servisa

WMSVC se mora zaustaviti prije uređivanja konfiguracije, pa to planirajte kao promjenu s dostupnim drugim putem upravljanja, poput konzolnog pristupa ili udaljene sesije koja ne ovisi o IIS Manageru. Zaustavite servis, primijenite promjenu adrese, porta ili certifikata, zatim ga pokrenite i potvrdite da se slušatelj premjestio. Svatko drugi tko koristi udaljenu IIS administraciju izgubit će sesiju tijekom tog prozora. Recite ostalim administratorima prije otvaranja prozora; otkriti to usred promjene način je na koji dvije osobe završe uređujući isti slušatelj.

Odabir svih adresa legitiman je izbor, ali tretirajte ga kao odluku o pristupu, a ne kao prečac. Proširenje slušatelja dok popis ograničenja ostaje otvoren način je na koji upravljačka krajnja točka završi izložena na mreži koju nitko nije namjeravao. Ako poslužitelj ima nekoliko NIC-ova, ograničite slušatelj na upravljačko sučelje, ostavite podatkovni put na miru i potvrdite da stranica i dalje odgovara na vlastitoj adresi.

Certifikat koji WMSVC predstavlja odabire se odvojeno od certifikata stranice. Ako promijenite adresu, potvrdite da certifikat još odgovara imenu hosta koje klijenti koriste, inače će veza kasnije pasti na TLS koraku s pritužbom koja nema veze s usmjeravanjem.

Odvojite dostupnost od povjerenja i dozvola

Kad TCP uspije, preostali kvarovi su poredani: TLS povjerenje za upravljački certifikat, zatim Windows provjera identiteta, zatim dozvole IIS Managera dodijeljene tom računu. Svaki od njih daje drugu pogrešku i nijedan se ne rješava rutom ili pravilom vatrozida. Čitajte tekst pogreške doslovno umjesto da ponovno pokrenete servis.

Prođite četiri provjere tim redom, krajnja točka, slušatelj, izvorna adresa, povjerenje, i obično ćete naći zastarjelo povezivanje prije nego nađete mrežni problem.