LocalSubnet an enger SMB-Firewallregel deckt keng VPN-Clienten of
Eng Erlaabnisregel mat LocalSubnet deckt d'eegen Subnetten vum Server of, net en geroutete VPN-Pool. Vergläicht d'Quelladress, déi de Server gesäit, ier Dir de Beräich erweidert.
Büro-Desktopen erreechen d'Deelung, VPN-Benotzer kréien eng Zäitlimit, an deeselwechte Kont funktionéiert vun engem Telefon-Hotspot. D'Deelungsberechtegungen sinn selten den Ënnerscheed; d'Adress, déi beim Dateieserver ukommt, ass et meeschtens. Eng Regel, déi op LocalSubnet limitéiert ass, erlaabt dem Server seng eegen ugeschlossene Subnetten, an e separat geroutete VPN-Pool ass net eng vun deenen. Zwee Designe schléissen dës Lück, an si loossen ganz verschidden Opzeechnungen hannert sech.
Zwee Designen, ee Symptom
Dat éischt Design setzt de VPN-Pool bei d'Bedingung fir d'Fernadress vun der Regel dobäi. Den Server gesäit dann d'Tunneladress vun all Client, sou datt seng Logbicher ee Fernbenotzer vun engem aneren ënnerscheede kënnen. Dat zweet Design leet VPN-Trafic duerch en Gateway, deen en an eng LAN-Adress iwwersetzt, ier den Server en gesäit. Dat stellt d'Verbindung erëm hier an hieft den Ënnerscheed am selwechte Schrëtt op.
D'Tabell beschreift Rollen amplaz vun Adressen, an Är eege Prefixe bestëmmen, wéi eng Zeil gëllt. Dréckt dem Server seng richteg Wäerter aus, amplaz e Beispill aus engem Blogbeitrag ze kopéieren:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthD'Tabell ass eng Hëllef bei der Entscheedung, keng Behauptung iwwer all Asaz. En Host mat zousätzlechen Interfaces, enger zweeter Standuertverbindung oder enger anerer Mask huet en anere lokale Set.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
D'Referenz fir New-NetFirewallRule vu Microsoft dokumentéiert d'Bedingunge fir d'Fernadress an de Schlësselwuert LocalSubnet. Liest se, ier Dir entscheet, datt de Schlësselwuert all privat Adressen heescht, well dat ass et net.
Vergläicht, wat de Server tatsächlech kritt
Liest déi effektiv Regel amplaz vun där, déi een erënnert sech erschaf ze hunn. Kontrolléiert, datt se aktivéiert ass, op de aktive Profil ugewannt gëtt, an datt hir Bedingung fir d'Fernadress mat der Quell iwwereneestëmmt, déi de Server gesäit. Eng Regel, déi nëmmen um Domain-Profil aktivéiert ass, mécht näischt, wann den Adapter no enger Netzwierkännerung op Public gerutscht ass.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionDen éischte Befehl dréckt d'Adressfilter aus, déi un d'Dateideelungsregelen ugehaange sinn, an den zweete weist, wéi eng Profiler aktiv sinn a wéi onpassend ankommend Trafic behandelt gëtt. Kuckt och no enger Blockéierungsregel an no enger zentral verwalteter Politik. Blockéierungsregele gi virun Erlaabnisregelen, an eng Politik, déi d'Zesummeféiere vun lokale Regele desaktivéiert, kann eng nei lokal Ausnam wierkungslos maachen.
Dat ass de Fall, an deem d'Regel an der Konsole richteg ausgesäit an keen Effekt op den Trafic huet. Kontrolléiert gläichzäiteg d'Profilzouweisung, well e Laptop, deen eem anert Netzwierk bäigetrueden ass, op de Public-Profil ka réckelen, ouni datt een d'Firewall beréiert.
Test den Transport virum Login
Trennt d'Erreechbarkeet vun der Authentifikatioun. En Nolauschterer op TCP 445 beweist, datt e Service un de Port gebonnen ass; et beweist net, datt e Fernpaket en erreeche kann. Eng fäerdeg TCP-Verbindung seet awer nach näischt iwwer d'Opriechte vun enger SMB-Sessioun oder d'Deelungsberechtegungen. Test den Handshake vu béide Säiten, ier Dir eng Regel ännert.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedDen éischte Befehl mellt, ob en TCP-Handshake vun der Maschinn aus geléngt, op där Dir en ausféiert, an den zweeten ergänzt d'opgeléist Adress an Interface-Detailer. Féiert en um VPN-Client an um Büro-Desktop aus, a vergläicht dann. Ping beäntwert keng vun den zwou Froen, well ICMP ka blockéiert sinn, wärend SMB op ass, oder erlaabt, wärend d'Firewall 445 fale léisst.
Wann den Handshake nëmmen iwwer d'VPN feelt, ass de Quellberäich den Haaptverdächtegen. Wann en geléngt an d'Deelung Iech nach ëmmer refuséiert, gitt op d'Diagnos vun der SMB-Sessioun an de Berächter, amplaz Firewallregelen ze änneren.
Wann Quell-NAT den Ënnerscheed ophieft
Mat enger Iwwersetzung am Wee kann den Server eenzel VPN-Clienten net méi iwwer d'Adress ënnerscheeden. All Fernbenotzer kënnt als de Gateway un. All Autorisatioun, déi dovun ofhängt, si vuneneen z'ënnerscheeden, muss do duerchgesat ginn, wou hir Identitéiten nach siichtbar sinn, wat meeschtens den VPN-Konzentrator oder en authentifizéierende Proxy bedeit. D'Firewallregel kann Trafic erlaaben; se kann en Ënnerscheed, deen eng Iwwersetzung opgehuewen huet, net erëm hierstellen.
Soubal déi Gatewayadress erlaabt ass, gëtt all Fernbenotzer ënner enger eenzeger Adress opgezeechent, sou datt d'Regel de ganze Pool jiddwerengem gëtt, deen de Gateway erreeche kann. Wann eng Entscheedung pro Benotzer wichteg ass, haalt déi ursprénglech Adressen siichtbar oder verréckelt d'Entscheedung op eng Schicht, déi de Benotzer nach kennt. Soss ierft all Fernbenotzer d'Berechtegungen vun där eenzeger Adress, déi de Server ka gesinn, an den Auditstrail kann se duerno net méi ënnerscheeden. Dat ass eng Designentscheedung, keen Detail vun der Firewall.
Wielt bewosst tëscht den zwee Designen. Limitéiert d'Regel op de richtege VPN-Pool, wann de Server muss gesinn, wien sech verbonnen huet, a akzeptéiert dee iwwersetzte Wee nëmmen, wann de Server déi Informatioun wierklech net brauch. Notéiert de gewielte Quellberäich niewent der Regel, well déi nächst Persoun, déi dat debuggët, fir d'éischt op d'Adresstabell kuckt.