SMB брандмауэр ережесіндегі LocalSubnet VPN клиенттерін қамтымайды
LocalSubnet рұқсат ережесі сервердің өз ішкі желілерін қамтиды, маршрутталған VPN пулын емес. Аясын кеңейтпес бұрын сервер көретін бастапқы мекенжаймен салыстырыңыз.
Кеңседегі жұмыс үстелдері ортақ қалтаға жетеді, VPN пайдаланушылары уақыт шегіне жетеді, ал сол тіркелгі телефон хотспотынан жұмыс істейді. Ортақ қалта рұқсаттары сирек айырмашылық болады; файл серверіне келетін мекенжай әдетте айырмашылық болады. LocalSubnet-ға шектелген ереже сервердің өзіне қосылған ішкі желілерге жол береді, ал бөлек маршрутталған VPN пулы олардың бірі емес. Екі дизайн осы олқылықты жабады және артында мүлде басқа жазбалар қалдырады.
Екі дизайн, бір симптом
Бірінші дизайн VPN пулын ереженің қашықтағы мекенжай шартына қосады. Сонда сервер әр клиенттің туннель мекенжайын көреді, сондықтан оның журналдары бір қашықтағы пайдаланушыны екіншісінен ажырата алады. Екінші дизайн VPN трафигін сервер көрмей тұрып LAN мекенжайына аударатын шлюз арқылы бағыттайды. Бұл байланысты қалпына келтіреді және сол қадамда айырмашылықты жояды.
Кесте мекенжайларды емес, рөлдерді сипаттайды, ал қай жолдың қолданылатынын өз префикстеріңіз шешеді. Блог жазбасынан мысал көшірмей, сервердің нақты мәндерін басып шығарыңыз:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthКесте шешім қабылдауға көмекші, әр орналастыру туралы тұжырым емес. Қосымша интерфейстері, екінші сайт байланысы немесе басқа маскасы бар хосттың жергілікті жиыны басқа болады.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft-тың New-NetFirewallRule анықтамасы қашықтағы мекенжай шарттарын және LocalSubnet кілт сөзін құжаттайды. Кілт сөз барлық жеке мекенжайларды білдіреді деп шешпес бұрын оны оқыңыз, өйткені олай емес.
Сервер шын мәнінде нені алатынын салыстырыңыз
Біреудің есінде қалған ережені емес, қолданыстағы ережені оқыңыз. Оның қосылғанын, белсенді профильге қолданылатынын және қашықтағы мекенжай шарты сервер көретін бастапқы мекенжайға сәйкес келетінін тексеріңіз. Тек Domain профилінде қосылған ереже желі өзгергеннен кейін адаптер Public-ке ауысқанда ештеңе істемейді.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionБірінші команда файл бөлісу ережелеріне тіркелген мекенжай сүзгілерін басып шығарады, ал екіншісі қай профильдердің белсенді екенін және сәйкес келмейтін кіріс трафигінің қалай өңделетінін көрсетеді. Блоктау ережесін және орталықтан басқарылатын саясатты да іздеңіз. Блоктау ережелері рұқсат ережелерінен басым болады, ал жергілікті ережелерді біріктіруді өшіретін саясат жаңа жергілікті ерекшелікті іске қосылмайтын етіп қоюы мүмкін.
Бұл ереже консольде дұрыс көрінетін және трафикке әсер етпейтін жағдай. Дәл сол уақытта профиль тағайындауын тексеріңіз, өйткені басқа желіге қосылған ноутбук ешкім брандмауэрге тиіспестен Public профиліне өтуі мүмкін.
Кіруге дейін тасымалды тексеріңіз
Қолжетімділікті аутентификациядан бөліңіз. TCP 445-тегі тыңдаушы қызметтің портқа байланғанын дәлелдейді; ол қашықтағы пакеттің оған жете алатынын дәлелдемейді. Аяқталған TCP қосылымы, өз кезегінде, SMB сессиясын орнату немесе ортақ қалта рұқсаттары туралы әлі ештеңе айтпайды. Ережені өңдеу алдында қол алысуды екі жақтан тексеріңіз.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedБірінші команда TCP қол алысуының өзі іске қосқан машинадан сәтті болатынын хабарлайды, ал екіншісі шешілген мекенжай мен интерфейс мәліметтерін қосады. Оны VPN клиентінен және кеңседегі жұмыс үстелінен іске қосып, содан кейін салыстырыңыз. Ping екі сұрақтың ешқайсысына жауап бермейді, өйткені SMB ашық кезде ICMP бұғатталуы мүмкін, немесе брандмауэр 445-ті тастаған кезде рұқсат етілуі мүмкін.
Егер қол алысу тек VPN-нен сәтсіз болса, бастапқы аясы басты күдікті болып табылады. Егер ол сәтті болып, ортақ қалта әлі де бас тартса, брандмауэр ережелерін өңдеудің орнына SMB сессиясы мен рұқсаттар диагностикасына өтіңіз.
Бастапқы NAT айырмашылықты жойғанда
Жолда түрлендіру болса, сервер жеке VPN клиенттерін мекенжай бойынша ажырата алмайды. Әр қашықтағы пайдаланушы шлюз ретінде келеді. Оларды ажыратуға тәуелді кез келген авторизация олардың сәйкестіктері әлі көрінетін жерде орындалуы керек, бұл әдетте VPN концентраторын немесе аутентификация проксиін білдіреді. Брандмауэр ережесі трафикке жол бере алады; түрлендіру жойған айырмашылықты ол қалпына келтіре алмайды.
Осы шлюз мекенжайына рұқсат берілгеннен кейін әр қашықтағы пайдаланушы бір мекенжай астында тіркеледі, сондықтан ереже бүкіл пулды шлюзге жете алатын кез келгенге береді. Егер пайдаланушыға қатысты шешім маңызды болса, бастапқы мекенжайларды көрінетін күйде ұстаңыз немесе шешімді пайдаланушыны әлі танитын қабатқа көшіріңіз. Әйтпесе әр қашықтағы пайдаланушы сервер көре алатын жалғыз мекенжайдың рұқсаттарын мұра етеді, ал аудит ізі оларды кейін ажырата алмайды. Бұл дизайн шешімі, брандмауэр бөлшегі емес.
Екі дизайнның бірін әдейі таңдаңыз. Сервер кім қосылғанын көруі керек болса, ережені нақты VPN пулына шектеңіз, ал түрлендірілген жолды серверге бұл ақпарат шынымен қажет болмағанда ғана қабылдаңыз. Таңдалған бастапқы ауқымды ереженің жанына жазып қойыңыз, өйткені мұны жөндейтін келесі адам ең алдымен мекенжай кестесін қарайды.