LocalSubnet í SMB eldveggjarreglu nær ekki yfir VPN-biðlara
Leyfisregla með LocalSubnet nær yfir eigin undirnet netþjónsins, ekki beint VPN-laug. Berið saman upprunavistfangið sem netþjónninn sér áður en umfangið er víkkað.
Skrifborð á skrifstofu ná í sameignina, VPN-notendur fá tímaútrun og sami reikningurinn virkar frá farsímahotspoti. Sameignarheimildirnar eru sjaldan munurinn; vistfangið sem berst netþjóninum er það venjulega. Regla sem er takmörkuð við LocalSubnet hleypir inn eigin tengdum undirnetum netþjónsins, og beint VPN-laug er ekki eitt þeirra. Tvær hönnunarlausnir loka bilinu, og þær skilja eftir mjög ólíkar skrár.
Tvær hönnunarlausnir, eitt einkenni
Fyrri hönnunin bætir VPN-lauginni við fjartengda vistfangsskilyrði reglunnar. Netþjónninn sér þá gönguvistfang hvers biðlara, svo skrár hans geta aðgreint einn fjarnotanda frá öðrum. Seinni hönnunin beinir VPN-umferð í gegnum gátt sem þýðir hana yfir í LAN-vistfang áður en netþjónninn sér hana. Það endurheimtir tengingu og fjarlægir aðgreininguna í sama skrefi.
Taflan lýsir hlutverkum frekar en vistföngum, og þínir eigin forskeytar ráða því hvaða röð á við. Prentaðu raunveruleg gildi netþjónsins í stað þess að afrita dæmi úr bloggfærslu:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTaflan er ákvörðunaraðstoð, ekki fullyrðing um hverja uppsetningu. Hýsitölva með auka tengi, aðra staðartengingu eða aðra grímu hefur annað staðbundið mengi.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
New-NetFirewallRule-tilvísun Microsoft skjalfestir skilyrði fjartengds vistfangs og leitarorðið LocalSubnet. Lestu hana áður en þú ákveður að leitarorðið merki öll einkavistföng, því svo er ekki.
Berðu saman það sem netþjónninn tekur í raun við
Lestu gildandi reglu í stað þeirrar sem einhver heldur að hann hafi búið til. Athugaðu að hún sé virk, gildi fyrir virka sniðið og að skilyrði fjartengds vistfangs passi við upprunann sem netþjónninn sér. Regla sem er aðeins virk á Domain-sniðinu gerir ekkert þegar millistykkið hefur færst yfir á Public eftir netbreytingu.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionFyrri skipunin prentar vistfangssíurnar sem eru tengdar sameignarreglunum, og sú seinni sýnir hvaða snið eru virk og hvernig er tekið á innkomandi umferð sem passar ekki. Leitaðu einnig að blokkkunarreglu og stefnu sem er stýrt miðlægt. Blokkkunarreglur ganga framar leyfisreglum, og stefna sem slökkvar á samruna staðbundinna reglna getur gert nýja staðbundna undantekningu gagnslaust.
Þetta er tilfellið þar sem reglan virðist rétt í stjórnborðinu og hefur engin áhrif á umferð. Athugaðu sniðsúthlutunina á sama tíma, því fartölva sem tengdist öðru neti getur færst yfir á Public-sniðið án þess að nokkur snerti eldvegginn.
Prófaðu flutninginn fyrir innskráningu
Aðskildu aðgengi frá auðkenningu. Hlustandi á TCP 445 sannar að þjónusta sé bundin við gáttina; það sannar ekki að fjarpakki geti náð til hennar. Lokið TCP-tenging segir hins vegar enn ekkert um uppsetningu SMB-lotunnar eða sameignarheimildir. Prófaðu handabandið frá báðum hliðum áður en þú breytir reglu.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedFyrri skipunin greinir frá því hvort TCP-handaband takist frá vélinni sem þú keyrir hana á, og sú seinni bætir við leystu vistfangi og upplýsingum um tengið. Keyrðu hana frá VPN-biðlara og skrifborði á skrifstofu, og berðu svo saman. Ping svarar hvorugri spurningunni, því ICMP getur verið blokkað á meðan SMB er opið, eða leyft á meðan eldveggurinn sleppir 445.
Ef handabandið mistekst aðeins frá VPN er upprunasviðið helsti grunurinn. Ef það tekst og sameignin neitar þér samt, farðu í greiningu á SMB-lotu og heimildum í stað þess að breyta eldveggjarreglum.
Þegar NAT á upprunanum fjarlægir aðgreininguna
Með þýðingu á leiðinni getur netþjónninn ekki greint einstaka VPN-biðlara í sundur eftir vistfangi. Sérhver fjarnotandi kemur sem gáttin. Hvers konar heimild sem byggir á aðgreiningu þeirra verður að framfylgja þar sem auðkenni þeirra eru enn sýnileg, sem venjulega þýðir VPN-safntækið eða auðkenningarproxy. Eldveggjarreglan getur hleypt umferðinni í gegn; hún getur ekki endurheimt aðgreiningu sem þýðingin fjarlægði.
Þegar búið er að leyfa þetta gáttarvistfang er sérhver fjarnotandi skráður undir einu vistfangi, svo reglan veitir allri lauginni til hvers sem nær í gáttina. Ef ákvörðun fyrir hvern notanda skiptir máli skaltu halda upprunalegu vistföngunum sýnilegum eða færa ákvörðunina á lag sem þekkir notandann enn. Annars erfur sérhver fjarnotandi heimildir þess eina vistfangs sem netþjónninn sér, og endurskoðunarslóðin getur ekki greint þá í sundur eftir á. Þetta er hönnunarákvörðun, ekki smáatriði í eldveggnum.
Veldu viljandi milli hönnunarlausnanna tveggja. Takmarkaðu regluna við raunverulegu VPN-laugina þegar netþjónninn verður að sjá hver tengdist, og samþykktu þýddu leiðina aðeins þegar netþjónninn þarf sannarlega ekki þessar upplýsingar. Skráðu valið upprunasvið við hlið reglunnar, því næsti maðurinn sem kembir þetta mun fyrst líta á vistfangstöfluna.