IIS Manager attālināta pārvaldība: vispirms pārbaudiet pašu WMSVC adresi

Jūsu vietne atbild uz 443 caur tuneli, bet IIS Manager joprojām nevar pieslēgties serverim. Šis rezultātu pāris nav pretruna, jo vietne un attālinātās administrēšanas galapunkts ir divi klausītāji ar divām konfigurācijām un diviem piekļuves noteikumu kopumiem. Pārvaldības klausītājs pieder Web Management Service, WMSVC, un tam ir sava adrese, ports, sertifikāts un IPv4 ierobežojumi. Pārbaudiet šo galapunktu, pirms aiztiecat kaut vienu maršrutu.

Divi klausītāji, divas dažādas problēmas

Pieprasījums uz vietni sasniedz šīs vietnes HTTP.sys saistījumu, kas tiek definēts katrai vietnei un katram protokolam applicationHost konfigurācijā. Pieprasījums no IIS Manager sasniedz WMSVC, kas pēc noklusējuma atbild ar HTTPS uz TCP 8172 un tiek konfigurēts servera līmenī. Nekas vietnes saistījumā nemaina to, kur WMSVC klausās, un nekas WMSVC nemaina to, uz kādu adresi vietne atbild. Tie dala vienu mašīnu un sertifikātu krātuvi, un tur līdzība beidzas.

Tātad veiksmīgs Test-NetConnection pret portu 443 parāda, ka vietnes klausītājs ir sasniedzams, un neko nepasaka par pārvaldību.

Atrodiet adresi, pie kuras WMSVC faktiski ir piesaistīts

Jautājiet serverim, ko tas klausās tagad, nevis kas tika konfigurēts pirms gadiem. Get-NetTCPConnection -LocalPort 8172 -State Listen izdrukā vietējo adresi, un vērtība 0.0.0.0 vai :: nozīmē visas adreses, bet konkrēta adrese nozīmē tikai to vienu. Ja servera adreses ir mainītas, klausītājs, kas joprojām piesaistīts novecojušai adresei, ir tieši tas bojājums, ko šī pārbaude piefiksē.

Konfigurētā vērtība atrodas IIS Manager Management Service lapā servera mezglā, bet aiz tās – administration.config inetsrv konfigurācijas direktorijā. Salīdziniet abus: ko saka fails un kam ligzda faktiski ir piesaistīta.

Pēc tam palaidiet Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed no skartā VPN klienta un nolasiet atrisināto adresi un izvēlēto avota adresi. Atšķirīga DNS atbilde VPN tīklā ir pietiekami izplatīta, lai to agri izslēgtu. Saglabājiet biļetē tieši šo resursdatora nosaukumu un portu, jo vēlāks salīdzinājums ar citu nosaukumu neko nepierāda par jūsu veikto izmaiņu.

Nolasiet avota adresi, ko redz serveris

WMSVC IPv4 ierobežojumi tiek vērtēti pret adresi, kas nonāk serverī, kas ne vienmēr ir tā adrese, ko jūsu portatīvais dators uzskata sev esam. Ja VPN baseins kaut kur ceļā tiek pārtulkots, serveris redz pārtulkoto adresi, un atļauju saraksts, kas veidots no klienta iekšējās adreses, to noraidīs. Šī noraidīšana klienta pusē izskatās kā savienojuma kļūda, tāpēc to bieži kļūdaini diagnosticē kā maršrutēšanas problēmu.

Izmantojiet TCP testa detalizēto izvadi un servera paša savienojumu tabulu, lai redzētu, kura avota adrese faktiski ieradās, pirms rediģējat ierobežojumu sarakstu.

Mainiet saistījumu kā pakalpojuma izmaiņu

WMSVC ir jāaptur pirms tā konfigurācijas rediģēšanas, tāpēc plānojiet to kā izmaiņu ar citu pieejamu pārvaldības ceļu, piemēram, konsoles piekļuvi vai attālinātu sesiju, kas nav atkarīga no IIS Manager. Apturiet pakalpojumu, piemērojiet adreses, porta vai sertifikāta izmaiņu, pēc tam palaidiet to un apstipriniet, ka klausītājs ir pārvietojies. Ikviens cits, kas izmanto attālinātu IIS administrēšanu, šajā logā zaudē sesiju. Paziņojiet citiem administratoriem pirms loga atvēršanas; atklāt to izmaiņu vidū ir veids, kā divi cilvēki sāk rediģēt vienu un to pašu klausītāju.

Visu adrešu izvēle ir likumīga iespēja, taču uztveriet to kā piekļuves lēmumu, nevis kā īsceļu. Klausītāja paplašināšana, kamēr ierobežojumu saraksts paliek atvērts, ir veids, kā pārvaldības galapunkts nonāk atklātā tīklā, ko neviens nav paredzējis. Ja serverim ir vairākas NIC, ierobežojiet klausītāju ar pārvaldības saskarni, atstājiet datu ceļu mierā un apstipriniet, ka vietne joprojām atbild uz savas adreses.

Sertifikāts, ko uzrāda WMSVC, tiek izvēlēts atsevišķi no vietnes sertifikātiem. Ja maināt adresi, apstipriniet, ka sertifikāts joprojām atbilst resursdatora nosaukumam, ko izmanto klienti, citādi savienojums vēlāk TLS posmā neizdosies ar sūdzību, kam nav nekāda sakara ar maršrutēšanu.

Atdaliet sasniedzamību no uzticēšanās un atļaujām

Kad TCP izdodas, atlikušie bojājumi ir sakārtoti: TLS uzticēšanās pārvaldības sertifikātam, pēc tam Windows autentifikācija, pēc tam IIS Manager atļaujas, kas piešķirtas šim kontam. Katrs no tiem rada citu kļūdu, un nevienu no tiem neizlabo maršruts vai ugunsmūra noteikums. Lasiet kļūdas tekstu burtiski, nevis restartējiet pakalpojumu vēlreiz.

Veiciet četras pārbaudes šādā secībā: galapunkts, klausītājs, avota adrese, uzticēšanās, un jūs parasti atradīsiet novecojušo saistījumu pirms tīkla problēmas.