LocalSubnet во SMB правило за огнен ѕид не опфаќа VPN клиенти
Правило за дозвола со LocalSubnet ги опфаќа сопствените подмрежи на серверот, а не рутиран VPN базен. Споредете ја изворната адреса што ја гледа серверот пред да го проширите опсегот.
Десктопите во канцеларијата стигнуваат до споделениот ресурс, VPN корисниците добиваат истекување на времето, а истата сметка работи од мобилен хотспот. Дозволите за споделување ретко се разликата; адресата што пристигнува до датотечниот сервер обично е. Правило ограничено на LocalSubnet ги пушта сопствените поврзани подмрежи на серверот, а одделно рутираниот VPN базен не е една од нив. Два дизајна ја затвораат оваа празнина и оставаат многу различни записи.
Два дизајна, еден симптом
Првиот дизајн го додава VPN базенот во условот за оддалечена адреса на правилото. Тогаш серверот ја гледа тунелската адреса на секој клиент, па неговите дневници можат да разделат еден оддалечен корисник од друг. Вториот дизајн го насочува VPN сообраќајот низ портал што го преведува во LAN адреса пред серверот да го види. Тоа ја враќа поврзаноста и ја отстранува разликата во истиот чекор.
Табелата опишува улоги, а не адреси, и вашите сопствени префикси одлучуваат кој ред се применува. Испечатете ги вистинските вредности на серверот наместо да копирате пример од блог објава:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthТабелата е помошно средство за одлучување, а не тврдење за секое распоредување. Домаќин со дополнителни интерфејси, втора локациска врска или друга маска има различно локално множество.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft референцата за New-NetFirewallRule ги документира условите за оддалечена адреса и клучниот збор LocalSubnet. Прочитајте ја пред да одлучите дека клучниот збор значи сите приватни адреси, бидејќи не е така.
Споредете што серверот навистина прима
Прочитајте го ефективното правило наместо она што некој мисли дека го создал. Проверете дали е овозможено, дали се применува на активниот профил и дали неговиот услов за оддалечена адреса одговара на изворот што го гледа серверот. Правило овозможено само на Domain профилот не прави ништо кога адаптерот преминал на Public по промена на мрежата.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionПрвата команда ги печати адресните филтри поврзани со правилата за споделување датотеки, а втората покажува кои профили се активни и како се третира несовпаднатиот влезен сообраќај. Побарајте и правило за блокирање и централно управувана политика. Правилата за блокирање имаат предност пред правилата за дозвола, а политиката што го оневозможува спојувањето локални правила може да го направи новото локално исклучок неефикасно.
Тоа е случајот кога правилото изгледа исправно во конзолата и нема никакво влијание врз сообраќајот. Проверете ја доделувањето на профилот во исто време, бидејќи лаптоп што се приклучил на друга мрежа може да премине на Public профилот без никој да го допре огнениот ѕид.
Тестирајте го транспортот пред најавувањето
Одделете ја достапноста од автентикацијата. Слушател на TCP 445 докажува дека услугата е врзана за портата; тоа не докажува дека оддалечен пакет може да стигне до неа. Завршена TCP врска, пак, сѐ уште не кажува ништо за воспоставувањето SMB сесија или дозволите за споделување. Тестирајте го ракувањето од двете страни пред да уредите правило.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedПрвата команда известува дали TCP ракувањето успева од машината на која ја извршувате, а втората ја додава решената адреса и деталите за интерфејсот. Извршете ја од VPN клиентот и од канцелариски десктоп, па споредете. Ping не одговара на ниту едно од двете прашања, бидејќи ICMP може да биде блокиран додека SMB е отворен, или дозволен додека огнениот ѕид го отфрла 445.
Ако ракувањето не успева само од VPN, изворниот опсег е главниот осомничен. Ако успева, а споделениот ресурс сѐ уште ве одбива, преминете на дијагностика на SMB сесијата и дозволите наместо да уредувате правила на огнениот ѕид.
Кога изворниот NAT ја отстранува разликата
Со преведување на патеката, серверот не може да разликува поединечни VPN клиенти по адреса. Секој оддалечен корисник доаѓа како порталот. Секое овластување што зависи од нивното разликување мора да се спроведе таму каде што нивните идентитети сѐ уште се видливи, што обично значи VPN концентратор или прокси што автентицира. Правилото на огнениот ѕид може да пропушти сообраќај; не може да врати разлика што преведувањето ја отстранило.
Откако таа адреса на порталот ќе се дозволи, секој оддалечен корисник се запишува под една адреса, па правилото го дава целиот базен на секој што може да стигне до порталот. Ако одлуката по корисник е важна, задржете ги оригиналните адреси видливи или преместете ја одлуката на слој што сѐ уште го познава корисникот. Инаку секој оддалечен корисник ги наследува дозволите на таа единствена адреса што серверот може да ја види, а ревизорската трага повеќе не може да ги разликува. Тоа е дизајнерска одлука, не детаљ на огнениот ѕид.
Свесно изберете меѓу двата дизајна. Ограничете го правилото на вистинскиот VPN базен кога серверот мора да види кој се поврзал, и прифатете ја преведената патека само кога на серверот навистина не му е потребна таа информација. Запишете го избраниот изворен опсег до правилото, бидејќи следниот човек што ќе го дебагира ова прво ќе ја погледне табелата со адреси.