IIS Manager далечинско управување: прво проверете ја сопствената адреса на WMSVC

Вашата страница одговара на 443 преку тунелот, а IIS Manager сѐ уште не може да се поврзе со серверот. Овој пар резултати не е противречност, бидејќи веб-страницата и крајната точка за далечинско администрирање се два слушатели со две конфигурации и два групи правила за пристап. Управувачкиот слушател и припаѓа на Web Management Service, WMSVC, и има сопствена адреса, порт, сертификат и IPv4 ограничувања. Проверете ја таа крајна точка пред да допрете и една рута.

Два слушатели, два различни проблема

Барањето до страницата стигнува до HTTP.sys поврзувањето на таа страница, кое се дефинира по страница и по протокол во applicationHost конфигурацијата. Барањето од IIS Manager стигнува до WMSVC, кој стандардно одговара со HTTPS на TCP 8172 и се конфигурира на ниво на сервер. Ништо во поврзувањето на страницата не менува каде слуша WMSVC, а ништо во WMSVC не менува на која адреса одговара страницата. Тие делат машина и складиште за сертификати, и таму сличноста завршува.

Значи успешно Test-NetConnection кон портата 443 ви кажува дека слушателот на страницата е достапен, и ништо за управувањето.

Најдете ја адресата на која WMSVC е навистина поврзан

Прашајте го серверот на што слуша сега, а не што било конфигурирано пред години. Get-NetTCPConnection -LocalPort 8172 -State Listen ја печати локалната адреса, а вредноста 0.0.0.0 или :: значи сите адреси, додека конкретна адреса значи само таа. Ако адресите на серверот се сменети, слушател сѐ уште прикачен на отфрлена адреса е токму дефектот што го фаќа оваа проверка.

Конфигурираната вредност се наоѓа на страницата Management Service на IIS Manager на серверскиот јазол, а зад неа во administration.config во конфигурациската папка inetsrv. Споредете ги двете: што вели датотеката и кон што е навистина поврзан сокетот.

Потоа извршете Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed од засегнатиот VPN клиент и прочитајте ја решената адреса и избраната изворна адреса. Различен DNS одговор на VPN е доволно чест за да вреди да се исклучи рано. Зачувајте го точното име на домаќинот и портата во тикетот, бидејќи подоцнежна споредба со друго име не докажува ништо за промената што сте ја направиле.

Прочитајте ја изворната адреса што ја гледа серверот

IPv4 ограничувањата на WMSVC се оценуваат спрема адресата што пристигнува на серверот, која не е секогаш адресата што вашиот лаптоп мисли дека ја има. Ако VPN базенот се преведува некаде по патот, серверот ја гледа преведената адреса, а списокот за дозвола изграден од внатрешната адреса на клиентот ќе го одбие. Тоа одбивање од страната на клиентот изгледа како грешка при поврзување, поради што често погрешно се дијагностицира како проблем со рутирање.

Користете го деталниот излез од TCP тестот, заедно со сопствената табела за врски на серверот, за да видите која изворна адреса навистина пристигнала пред да го уредите списокот со ограничувања.

Променете го поврзувањето како промена на услуга

WMSVC мора да се запре пред да се уредува неговата конфигурација, затоа планирајте го како промена со друг достапен пат за управување, како пристап до конзола или далечинска сесија што не зависи од IIS Manager. Запрете ја услугата, примените промената на адреса, порт или сертификат, потоа стартувајте ја и потврдете дека слушателот се преместил. Секој друг што користи далечинско IIS администрирање ја губи сесијата во тој прозорец. Кажете им на другите администратори пред да се отвори прозорецот; да го откриете тоа среде промена е начинот на кој двајца завршуваат со уредување на истиот слушател.

Изборот на сите адреси е легитимна опција, но третирајте го како одлука за пристап, а не како кратенка. Проширувањето на слушателот додека списокот со ограничувања останува отворен е начинот на кој управувачката крајна точка завршува изложена на мрежа што никој не ја предвидел. Ако серверот има неколку NIC, ограничете го слушателот на управувачкото интерфејс, оставете го патот на податоците и потврдете дека страницата сѐ уште одговара на сопствената адреса.

Сертификатот што го презентира WMSVC се избира одделно од сертификатите на страницата. Ако ја промените адресата, потврдете дека сертификатот сѐ уште се совпаѓа со името на домаќинот што го користат клиентите, инаку врската подоцна ќе пропадне на TLS чекорот со поплака што нема никаква врска со рутирањето.

Одвојте ја достапноста од довербата и дозволите

Откако TCP ќе успее, останатите дефекти се подредени: TLS доверба за управувачкиот сертификат, потоа Windows автентикација, потоа дозволите на IIS Manager доделени на тој профил. Секој од нив дава различна грешка и ниту еден не се решава со рута или firewall правило. Прочитајте го текстот на грешката буквално наместо повторно да ја стартувате услугата.

Изведете ги четирите проверки по тој редослед: крајна точка, слушател, изворна адреса, доверба, и обично ќе го најдете застареното поврзување пред да најдете мрежен проблем.