SMB firewall կանոնի LocalSubnet-ը չի ընդգրկի VPN հաճախորդներին
LocalSubnet-ով թույլատրող կանոնը ծածկում է սերվերի սեփական ենթացանցերը, ոչ թե երթուղավորված VPN լողավազանը։ Նախքան շրջանակը լայնացնելը համեմատեք այն աղբյուրի հասցեն, որը տեսնում է սերվերը։
Գրասենյակի աշխատասեղանները հասնում են ընդհանուր պանակին, VPN օգտատերերը ստանում են ժամանակի սպառում, և նույն հաշիվը աշխատում է բջջային հոթսփոթից։ Ընդհանուր պանակի թույլտվությունները հազվադեպ են տարբերությունը. ֆայլային սերվերին հասնող հասցեն սովորաբար տարբերությունն է։ LocalSubnet-ով սահմանափակված կանոնը թույլ է տալիս սերվերի սեփական միացված ենթացանցերը, իսկ առանձին երթուղավորված VPN լողավազանը դրանցից մեկը չէ։ Երկու ձևավորում փակում են այդ բացը, և թողնում են շատ տարբեր գրառումներ։
Երկու ձևավորում, մեկ ախտանիշ
Առաջին ձևավորումը VPN լողավազանը ավելացնում է կանոնի հեռավոր հասցեի պայմանին։ Սերվերն այնուհետև տեսնում է յուրաքանչյուր հաճախորդի թունելի հասցեն, ուստի նրա մատյանները կարող են առանձնացնել մի հեռավոր օգտատիրոջը մյուսից։ Երկրորդ ձևավորումը VPN երթևեկությունը ուղղում է դարպասով, որը այն թարգմանում է LAN հասցեի նախքան սերվերը կտեսնի։ Դա վերականգնում է կապը և նույն քայլով վերացնում տարբերությունը։
Աղյուսակը նկարագրում է դերեր, ոչ թե հասցեներ, և ձեր սեփական նախածանցերն են որոշում, թե որ տողն է կիրառվում։ Տպեք սերվերի իրական արժեքները՝ բլոգի գրառումից օրինակ պատճենելու փոխարեն՝
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthԱղյուսակը որոշման օժանդակ միջոց է, ոչ թե պնդում յուրաքանչյուր տեղադրման մասին։ Լրացուցիչ ինտերֆեյսներով, երկրորդ կայքի կապով կամ այլ դիմակով հոսթն ունի այլ տեղական հավաքածու։
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft-ի New-NetFirewallRule տեղեկանքը նկարագրում է հեռավոր հասցեի պայմանները և LocalSubnet բանալի բառը։ Կարդացեք այն նախքան որոշելը, որ բանալի բառը նշանակում է բոլոր մասնավոր հասցեները, որովհետև այդպես չէ։
Համեմատեք, թե ինչ է սերվերն իրականում ստանում
Կարդացեք գործող կանոնը, ոչ թե այն, ինչ ինչ-որ մեկը հիշում է, թե ստեղծել է։ Ստուգեք, որ այն միացված է, կիրառվում է ակտիվ պրոֆիլի վրա, և նրա հեռավոր հասցեի պայմանը համապատասխանում է սերվերի տեսած աղբյուրին։ Միայն Domain պրոֆիլում միացված կանոնը ոչինչ չի անում, երբ ցանցի փոփոխությունից հետո ադապտերը անցել է Public-ի։
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionԱռաջին հրամանը տպում է ֆայլերի համօգտագործման կանոններին կցված հասցեների զտիչները, իսկ երկրորդը ցույց է տալիս, թե որ պրոֆիլներն են ակտիվ և ինչպես է վարվում չհամապատասխանող մուտքային երթևեկությունը։ Փնտրեք նաև արգելափակող կանոն և կենտրոնացված կառավարվող քաղաքականություն։ Արգելափակող կանոնները գերակայում են թույլատրող կանոններից, և տեղական կանոնների միաձուլումն անջատող քաղաքականությունը կարող է նոր տեղական բացառությունը դարձնել անգործուն։
Դա այն դեպքն է, երբ կանոնը վահանակում ճիշտ է թվում և ոչ մի ազդեցություն չունի երթևեկության վրա։ Միաժամանակ ստուգեք պրոֆիլի նշանակումը, որովհետև այլ ցանցին միացած նոթբուքը կարող է անցնել Public պրոֆիլի՝ առանց որևէ մեկի դիպչելու firewall-ին։
Փորձարկեք տրանսպորտը մինչև մուտքը
Առանձնացրեք հասանելիությունը նույնականացումից։ TCP 445-ի վրա լսողը ապացուցում է, որ ծառայությունը կապված է պորտին. այն չի ապացուցում, որ հեռավոր փաթեթը կարող է հասնել դրան։ Ավարտված TCP կապը, իր հերթին, դեռ ոչինչ չի ասում SMB սեսիայի հաստատման կամ համօգտագործման թույլտվությունների մասին։ Փորձարկեք ձեռքսեղմումը երկու կողմից նախքան կանոնը խմբագրելը։
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedԱռաջին հրամանը հայտնում է՝ արդյոք TCP ձեռքսեղմումը հաջողվում է այն մեքենայից, որտեղից գործարկում եք, իսկ երկրորդը ավելացնում է լուծված հասցեն և ինտերֆեյսի մանրամասները։ Գործարկեք այն VPN հաճախորդից և գրասենյակի աշխատասեղանից, ապա համեմատեք։ Ping-ը չի պատասխանում ոչ մի հարցի, որովհետև ICMP-ն կարող է արգելափակված լինել, մինչ SMB-ն բաց է, կամ թույլատրված՝ մինչ firewall-ը գցում է 445-ը։
Եթե ձեռքսեղմումը ձախողվում է միայն VPN-ից, աղբյուրի շրջանակը գլխավոր կասկածյալն է։ Եթե այն հաջողվում է, և ընդհանուր պանակը դեռ մերժում է ձեզ, անցեք SMB սեսիայի և թույլտվությունների ախտորոշմանը՝ firewall կանոնները խմբագրելու փոխարեն։
Երբ աղբյուրի NAT-ը վերացնում է տարբերությունը
Երթուղու մեջ թարգմանության առկայության դեպքում սերվերը չի կարող առանձին VPN հաճախորդներին տարբերել ըստ հասցեի։ Յուրաքանչյուր հեռավոր օգտատեր գալիս է որպես դարպաս։ Ցանկացած լիազորում, որը կախված է նրանց տարբերելուց, պետք է կիրառվի այնտեղ, որտեղ նրանց ինքնությունները դեռ տեսանելի են, ինչը սովորաբար նշանակում է VPN կենտրոնացուցիչ կամ նույնականացնող վստահված սերվեր։ Firewall կանոնը կարող է թույլ տալ երթևեկությունը. այն չի կարող վերականգնել տարբերությունը, որը վերացրել է թարգմանությունը։
Հենց այդ դարպասի հասցեն թույլատրվի, յուրաքանչյուր հեռավոր օգտատեր գրանցվում է մեկ հասցեի տակ, ուստի կանոնը տալիս է ամբողջ լողավազանը յուրաքանչյուրին, ով կարող է հասնել դարպասին։ Եթե մեկ օգտատիրոջով պայմանավորված որոշումը կարևոր է, պահեք բնօրինակ հասցեները տեսանելի կամ տեղափոխեք որոշումը մի շերտ, որը դեռ ճանաչում է օգտատիրոջը։ Հակառակ դեպքում յուրաքանչյուր հեռավոր օգտատեր ժառանգում է այն միակ հասցեի թույլտվությունները, որը սերվերը կարող է տեսնել, և աուդիտի հետքն այլևս չի կարող տարբերել նրանց։ Դա ձևավորման որոշում է, ոչ թե firewall-ի մանրամասնություն։
Գիտակցաբար ընտրեք երկու ձևավորումների միջև։ Սահմանափակեք կանոնը իրական VPN լողավազանով, երբ սերվերը պետք է տեսնի, թե ով է միացել, և ընդունեք թարգմանված ուղին միայն այն դեպքում, երբ սերվերին իսկապես պետք չէ այդ տեղեկատվությունը։ Գրանցեք ընտրված աղբյուրի միջակայքը կանոնի կողքին, որովհետև այս հարցը վրիպազերծող հաջորդ մարդը նախ կնայի հասցեների աղյուսակին։