IIS Manager aus der Distanz: d'Adresse vum WMSVC als Éischt kontrolléieren

Är Säit äntwert op 443 duerch den Tunnel, an den IIS Manager kann sech trotzdeem net mam Server verbannen. Dës Kombinatioun vu Resultater ass kee Widdersproch, well d'Websäit an den Endpunkt fir d'Fernadministratioun zwee Lauschtere mat zwou Konfiguratiounen an zwee Sätz Zougrëffsregele sinn. D'Verwaltung gehéiert zum Web Management Service, WMSVC, an huet seng eege Adress, säi Port, säin Zertifikat an seng IPv4-Restriktiounen. Kontrolléiert dësen Endpunkt, ier Dir och nëmmen eng eenzeg Route beréiert.

Zwee Lauschteren, zwee verschidde Problemer

Eng Ufro un d'Säit erreecht d'HTTP.sys-Bindung vun där Säit, déi pro Säit a pro Protokoll an der applicationHost-Konfiguratioun definéiert ass. Eng Ufro vum IIS Manager erreecht de WMSVC, deen standardméisseg HTTPS op TCP 8172 äntwert a op Server-Niveau konfiguréiert ass. Nichts un der Bindung vun der Säit ännert, wou de WMSVC lauschtert, an nichts um WMSVC ännert, op wéi enger Adress d'Säit äntwert. Si deelen eng Maschinn an en Zertifikatsspäicher, an do hält d'Ähnlechkeet op.

Also en erfollegräichen Test-NetConnection op Port 443 seet Iech, datt de Lauschtere vun der Säit erreechbar ass, an absolut näischt iwwer d'Administratioun.

Fannt d'Adress, un déi de WMSVC tatsächlech gebonnen ass

Frot de Server, op wat en elo lauschtert, an net op wat en viru Joren konfiguréiert war. Get-NetTCPConnection -LocalPort 8172 -State Listen dréckt d'lokal Adress, an de Wäert 0.0.0.0 oder :: bedeit all Adressen, während eng spezifesch Adress nëmmen déi eng bedeit. Wann d'Adressen vun engem Server geännert goufen, ass e Lauschteren, deen nach un eng pensionéiert Adress gepinnt ass, genee de Feeler, deen dëse Kontroll fänkt.

De konfiguréierte Wäert steet op der Management Service-Säit vum IIS Manager um Serverknuet, an hannendrun an administration.config am inetsrv-Konfiguratiounsverzeechnis. Vergläicht déi zwee: wat d'Datei seet, a wourop de Socket tatsächlech gebonnen ass.

Da lauscht Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed vum betraffene VPN-Client a liest d'opgeléist Adress an d'ausgewielte Quelladress. Eng aner DNS-Äntwert op der VPN ass heefeg genuch, fir se fréizäiteg auszeschléissen. Halt dee genauen Hostnumm an dee Port am Ticket, well en spéideren Verglach mat engem aneren Numm näischt iwwer Är Ännerung beweist.

Liest d'Quelladress, déi de Server gesäit

D'IPv4-Restriktioune vum WMSVC ginn op d'Adress ugewannt, déi um Server ukënnt, déi net ëmmer déi Adress ass, déi Ären Laptop vu sech mengt ze hunn. Wann de VPN-Pool iergendwou um Wee iwwersat gëtt, gesäit de Server déi iwwersat Adress an eng Erlaabnislëscht, déi aus der interner Adress vum Client gebaut ass, refuséiert se. Dës Refusatioun gesäit aus wéi en Uschlossfeeler vun der Client-Säit, dofir gëtt se dacks falsch als Routingproblem diagnostizéiert.

Benotzt d'detailléiert Ausgab vum TCP-Test plus d'Verbindungstabell vum Server, fir ze gesinn, wéi eng Quelladress tatsächlech ukënnt, ier Dir d'Restriktiounslëscht ännert.

Ännert d'Bindung als Service-Ännerung

De WMSVC muss gestoppt ginn, ier seng Konfiguratioun geännert gëtt, also plangt et als Ännerung mat engem aneren Admin-Wee, wéi Konsolzougrëff oder eng Fernsitzung déi net vum IIS Manager ofhänkt. Stoppt de Service, wend d'Ännerung vun Adress, Port oder Zertifikat un, starten en dann erëm a bestätegt, datt de Lauschtere sech geréckelt huet. All aner, déi Fern-IIS-Administratioun benotzen, verléieren hir Sitzung an deem Fenster. Sot den aneren Administratoren Bescheed, ier d'Fenster opgeet; et mëttendranner ze entdecken ass wéi zwou Persounen dee selwechte Lauschteren änneren.

All Adressen ze wielen ass eng legitim Optioun, awer behandelt se als Zougrëffsentscheedung an net als Ofkierzung. De Lauschteren ze verbreeden, während d'Restriktiounslëscht op bleift, ass wéi en Administratiounsendpunkt um Netzwierk agesat gëtt, dat kee virgesinn huet. Wann de Server verschidde NICs huet, limitéiert de Lauschteren op d'Verwaltungsinterface, loosst de Dateschnellwee a Rou a bestätegt, datt d'Säit nach ëmmer op hirer eegener Adress äntwert.

D'Zertifikat, deen de WMSVC presentéiert, gëtt separat vun de Säitenzertifikaten ausgewielt. Wann Dir d'Adress ännert, bestätegt, datt d'Zertifikat nach ëmmer mam Hostnumm iwwereneestëmmt, deen d'Cliente benotzen, soss fällt d'Verbindung méi spéit am TLS-Schrëtt mat enger Beschwéierung aus, déi näischt mam Routing ze dinn huet.

Trennt d'Erreechbarkeet vum Vertrauen an de Permissiounen

Wann TCP geléngt, sinn déi reschtlech Feeler geuerdnet: TLS-Vertrauen fir de Verwaltungszertifikat, dann Windows-Authentifikatioun, dann d'IIS Manager-Permissiounen, déi deem Kont ginn. Jiddweree vun dene bréngt en aneren Feeler, an keen gëtt duerch eng Route oder eng Firewall-Regel behuewen. Liest den Feelertext wuertwiertlech, amplaz de Service nach eng Kéier ze starten.

Schafft déi véier Kontrollen an där Reihenfolleg of, Endpunkt, Lauschteren, Quelladress, Vertrauen, an Dir fannt meeschtens déi al Bindung, ier Dir e Netzprobleem fannt.