LocalSubnet SMB ugunsmūra noteikumā neaptver VPN klientus
Atļaujas noteikums ar LocalSubnet aptver paša servera apakštīklus, nevis maršrutētu VPN pūlu. Pirms tvēruma paplašināšanas salīdziniet avota adresi, ko redz serveris.
Biroja darbvirsmas sasniedz koplietoto mapi, VPN lietotājiem iestājas taimauts, un tas pats konts darbojas no tālruņa hotspot. Koplietošanas atļaujas reti ir atšķirība; adrese, kas nonāk failu serverī, parasti ir tā. Noteikums, kas ierobežots ar LocalSubnet, ielaiž paša servera pievienotos apakštīklus, un atsevišķi maršrutēts VPN pūls nav viens no tiem. Divi risinājumi aizpilda šo plaisu, un tie atstāj ļoti atšķirīgus ierakstus.
Divi risinājumi, viena pazīme
Pirmais risinājums pievieno VPN pūlu noteikuma attālās adreses nosacījumam. Tad serveris redz katra klienta tuneļa adresi, tāpēc tā žurnāli var atšķirt vienu attālo lietotāju no cita. Otrais risinājums novirza VPN satiksmi caur vārteju, kas to pārtulko LAN adresē, pirms serveris to redz. Tas atjauno savienojumu un tajā pašā solī noņem atšķirību.
Tabula apraksta lomas, nevis adreses, un to, kura rinda attiecas, izlemj jūsu pašu prefiksi. Izdrukājiet servera īstās vērtības, nevis kopējiet piemēru no emuāra ieraksta:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTabula ir lēmuma palīglīdzeklis, nevis apgalvojums par katru izvietojumu. Resursdatoram ar papildu saskarnēm, otru vietnes saiti vai citu masku ir cita vietējā kopa.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft New-NetFirewallRule atsauce dokumentē attālās adreses nosacījumus un atslēgvārdu LocalSubnet. Izlasiet to pirms lēmuma, ka atslēgvārds nozīmē visas privātās adreses, jo tas tā nav.
Salīdziniet, ko serveris patiešām saņem
Lasiet faktiski spēkā esošo noteikumu, nevis to, ko kāds atceras esam izveidojis. Pārbaudiet, vai tas ir iespējots, vai attiecas uz aktīvo profilu un vai tā attālās adreses nosacījums atbilst avotam, ko redz serveris. Noteikums, kas iespējots tikai Domain profilā, neko nedara, kad pēc tīkla maiņas adapteris pārgājis uz Public.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionPirmā komanda izdrukā adrešu filtrus, kas piesaistīti failu koplietošanas noteikumiem, bet otrā parāda, kuri profili ir aktīvi un kā tiek apstrādāta neatbilstoša ienākošā satiksme. Meklējiet arī bloķēšanas noteikumu un centralizēti pārvaldītu politiku. Bloķēšanas noteikumiem ir prioritāte pār atļaujas noteikumiem, un politika, kas atspējo vietējo noteikumu sapludināšanu, var padarīt jaunu vietējo izņēmumu neiedarbīgu.
Tas ir gadījums, kad noteikums konsolē izskatās pareizi un tam nav nekādas ietekmes uz satiksmi. Vienlaikus pārbaudiet profila piešķiršanu, jo klēpjdators, kas pievienojies citam tīklam, var pāriet uz Public profilu, nevienam neaiztiekot ugunsmūri.
Pārbaudiet transportu pirms pieteikšanās
Atdaliet sasniedzamību no autentifikācijas. Klausītājs uz TCP 445 pierāda, ka pakalpojums ir piesaistīts portam; tas nepierāda, ka attāls pakets to var sasniegt. Pabeigts TCP savienojums savukārt vēl neko nepasaka par SMB sesijas izveidi vai koplietošanas atļaujām. Pārbaudiet rokas apliecinājumu no abām pusēm pirms noteikuma rediģēšanas.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedPirmā komanda ziņo, vai TCP rokas apliecinājums izdodas no datora, kurā to palaižat, un otrā pievieno atrisināto adresi un saskarnes informāciju. Palaidiet to no VPN klienta un no biroja darbvirsmas, pēc tam salīdziniet. Ping neatbild ne uz vienu jautājumu, jo ICMP var būt bloķēts, kamēr SMB ir atvērts, vai atļauts, kamēr ugunsmūris nomet 445.
Ja rokas apliecinājums neizdodas tikai no VPN, avota tvērums ir galvenais aizdomās turamais. Ja tas izdodas un koplietotā mape jūs joprojām atsaka, pārejiet uz SMB sesijas un atļauju diagnostiku, nevis rediģējiet ugunsmūra noteikumus.
Kad avota NAT noņem atšķirību
Kad ceļā ir tulkošana, serveris nevar atšķirt atsevišķus VPN klientus pēc adreses. Katrs attālais lietotājs ierodas kā vārteja. Jebkurš atļaujas lēmums, kas atkarīgs no to atšķiršanas, jāīsteno tur, kur viņu identitātes vēl ir redzamas, kas parasti nozīmē VPN koncentratoru vai autentificējošu starpniekserveri. Ugunsmūra noteikums var ielaist satiksmi; tas nevar atjaunot atšķirību, ko noņēmusi tulkošana.
Kad šī vārtejas adrese ir atļauta, katrs attālais lietotājs tiek reģistrēts ar vienu adresi, tāpēc noteikums piešķir visu pūlu ikvienam, kas var sasniegt vārteju. Ja lēmums katram lietotājam ir svarīgs, saglabājiet sākotnējās adreses redzamas vai pārvietojiet lēmumu uz slāni, kas vēl pazīst lietotāju. Pretējā gadījumā katrs attālais lietotājs manto tās vienīgās adreses atļaujas, ko serveris var redzēt, un audita pēdas vairs nevar tos atšķirt. Tas ir projektēšanas lēmums, nevis ugunsmūra detaļa.
Apzināti izvēlieties vienu no diviem risinājumiem. Ierobežojiet noteikumu ar īsto VPN pūlu, kad serverim jāredz, kas pievienojies, un pieņemiet pārtulkoto ceļu tikai tad, kad serverim šī informācija patiešām nav vajadzīga. Pierakstiet izvēlēto avota diapazonu blakus noteikumam, jo nākamais cilvēks, kas to atkļūdos, vispirms skatīsies adrešu tabulā.