SMB брандмауэр эрежесиндеги LocalSubnet VPN кардарларын камтыбайт
LocalSubnet уруксат эрежеси сервердин өз ички тармактарын камтыйт, багытталган VPN пулун эмес. Аймакты кеңейтүүдөн мурун сервер көргөн булак дарегин салыштырыңыз.
Кеңседеги иш такталар жалпы папкага жетет, VPN колдонуучулар убакыт бүтүп калат, ал эми ошол эле аккаунт уюлдук телефондун хотспотунан иштейт. Жалпы папканын уруксаттары сейрек айырма болот; файлдык серверге келген дарек көбүнчө айырма болот. LocalSubnet менен чектелген эреже сервердин өзүнө туташкан ички тармактарына жол берет, ал эми өзүнчө багытталган VPN пулу алардын бири эмес. Эки долбоор бул боштукту жабат жана артында абдан башка жазууларды калтырат.
Эки долбоор, бир белги
Биринчи долбоор VPN пулун эреженин алыскы дарегинин шартына кошот. Андан кийин сервер ар бир кардардын туннель дарегин көрөт, ошондуктан анын журналдары бир алыскы колдонуучуну экинчисинен ажырата алат. Экинчи долбоор VPN трафигин сервер көрө электе LAN дарегине которгон шлюз аркылуу багыттайт. Бул байланышты калыбына келтирет жана ошол эле кадамда айырманы жок кылат.
Таблица даректерди эмес, ролдорду сүрөттөйт, жана кайсы сап колдонуларын өз префикстериңиз чечет. Блог жазуусунан мисал көчүрбөй, сервердин чыныгы маанилерин басып чыгарыңыз:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthТаблица чечим кабыл алууга жардамчы, ар бир жайгаштыруу жөнүндө билдирүү эмес. Кошумча интерфейстери, экинчи сайт байланышы же башка маскасы бар хосттун жергиликтүү топтому башка болот.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoftтин New-NetFirewallRule шилтемеси алыскы дарек шарттарын жана LocalSubnet ачкыч сөзүн документтештирет. Ачкыч сөз бардык жеке даректерди билдирет деп чечүүдөн мурун аны окуңуз, анткени андай эмес.
Сервер чындыгында эмнени аларын салыштырыңыз
Бирөөнүн эсинде калган эрежени эмес, колдонуудагы эрежени окуңуз. Анын күйгүзүлгөнүн, активдүү профилге колдонуларын жана алыскы дарек шарты сервер көргөн булакка туура келерин текшериңиз. Тек Domain профилинде күйгүзүлгөн эреже тармак өзгөргөндөн кийин адаптер Publicке өткөндө эч нерсе кылбайт.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionБиринчи буйрук файл бөлүшүү эрежелерине тиркелген дарек чыпкаларын басып чыгарат, экинчиси кайсы профилдер активдүү экенин жана дал келбеген кирүүчү трафик кантип иштетилерин көрсөтөт. Бөгөттөөчү эрежени жана борбордон башкарылуучу саясатты да издеңиз. Бөгөттөөчү эрежелер уруксат эрежелеринен артык болот, ал эми жергиликтүү эрежелерди бириктирүүнү өчүргөн саясат жаңы жергиликтүү өзгөчөлүктү иштебей калтырышы мүмкүн.
Бул эреже консолдо туура көрүнүп, трафикке таасир этпеген учур. Ошол эле учурда профиль дайындоосун текшериңиз, анткени башка тармакка кошулган ноутбук эч ким брандмауэрге тийбестен Public профилине өтүшү мүмкүн.
Кирүүдөн мурун транспортту текшериңиз
Жеткиликтүүлүктү аутентификациядан бөлүңүз. TCP 445теги угуучу кызматтын портко байланганын далилдейт; ал алыскы пакеттин ага жете аларын далилдебейт. Бүткөн TCP байланышы, өз кезегинде, SMB сессиясын түзүү же жалпы папка уруксаттары жөнүндө азырынча эч нерсе айтпайт. Эрежени түзөтүүдөн мурун кол кармашууну эки тараптан текшериңиз.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedБиринчи буйрук TCP кол кармашуусу иштетип жаткан машинаңыздан ийгиликтүү болорун билдирет, экинчиси чечилген даректи жана интерфейс деталдарын кошот. Аны VPN кардарынан жана кеңседеги иш тактадан иштетип, анан салыштырыңыз. Ping эки суроонун эч бирине жооп бербейт, анткени SMB ачык турганда ICMP бөгөттөлүшү мүмкүн, же брандмауэр 445ти таштаганда уруксат берилиши мүмкүн.
Эгер кол кармашуу VPNден гана ийгиликсиз болсо, булактын аймагы негизги шектүү. Эгер ал ийгиликтүү болуп, жалпы папка дагы эле баш тартса, брандмауэр эрежелерин түзөтүүнүн ордуна SMB сессиясынын жана уруксаттардын диагностикасына өтүңүз.
Булактын NAT айырманы жок кылганда
Жолдо которуу болсо, сервер жеке VPN кардарларын дарек боюнча ажырата албайт. Ар бир алыскы колдонуучу шлюз катары келет. Аларды ажыратууга көз каранды болгон ар кандай авторизация алардын инсандыктары дагы көрүнүп турган жерде аткарылышы керек, бул адатта VPN концентраторун же аутентификация проксисин билдирет. Брандмауэр эрежеси трафикке жол бере алат; которуу жок кылган айырманы ал калыбына келтире албайт.
Ошол шлюз дарегине уруксат берилгенден кийин ар бир алыскы колдонуучу бир гана даректин астында жазылат, ошондуктан эреже бүт пулду шлюзге жете алган ар кимге берет. Эгер колдонуучуга жараша чечим маанилүү болсо, баштапкы даректерди көрүнүп туруучу кылып кармаңыз же чечимди колдонуучуну дагы тааныган катмарга жылдырыңыз. Болбосо ар бир алыскы колдонуучу сервер көрө алган жалгыз даректин уруксаттарын мураска алат, жана аудит изи аларды кийин ажырата албайт. Бул долбоор чечими, брандмауэрдин деталы эмес.
Эки долбоордун бирин атайылап тандаңыз. Сервер ким туташканын көрүүгө тийиш болгондо эрежени чыныгы VPN пулуна чектеңиз, ал эми которулган жолду серверге бул маалымат чындап керек болбогондо гана кабыл алыңыз. Тандалган булак диапазонун эреженин жанына жазып коюңуз, анткени муну оңдой турган кийинки адам биринчи кезекте даректер таблицасын карайт.