SMB ഫയർവാൾ നിയമത്തിലെ LocalSubnet VPN ക്ലയന്റുകളെ ഉൾക്കൊള്ളില്ല
LocalSubnet അനുവാദ നിയമം സെർവറിന്റെ സ്വന്തം സബ്നെറ്റുകളെ ഉൾക്കൊള്ളുന്നു, റൂട്ട് ചെയ്ത VPN പൂളിനെയല്ല. പരിധി വിപുലീകരിക്കുന്നതിന് മുമ്പ് സെർവർ കാണുന്ന ഉറവിട വിലാസം താരതമ്യം ചെയ്യുക.
ഓഫീസ് ഡെസ്ക്ടോപ്പുകൾ ഷെയറിൽ എത്തുന്നു, VPN ഉപയോക്താക്കൾക്ക് സമയം കഴിയുന്നു, അതേ അക്കൗണ്ട് മൊബൈൽ ഹോട്ട്സ്പോട്ടിൽ നിന്ന് പ്രവർത്തിക്കുന്നു. ഷെയർ അനുമതികൾ അപൂർവ്വമായി വ്യത്യാസമാണ്; ഫയൽ സെർവറിൽ എത്തുന്ന വിലാസം സാധാരണയായി വ്യത്യാസമാണ്. LocalSubnet എന്നതിൽ പരിമിതപ്പെടുത്തിയ നിയമം സെർവറിന്റെ സ്വന്തം ബന്ധിപ്പിച്ച സബ്നെറ്റുകൾക്ക് പ്രവേശനം നൽകുന്നു, വെവ്വേറെ റൂട്ട് ചെയ്ത VPN പൂൾ അവയിലൊന്നല്ല. രണ്ട് രൂപകൽപ്പനകൾ ഈ വിടവ് അടയ്ക്കുന്നു, അവ വളരെ വ്യത്യസ്തമായ രേഖകൾ ബാക്കിയാക്കുന്നു.
രണ്ട് രൂപകൽപ്പനകൾ, ഒരു ലക്ഷണം
ആദ്യ രൂപകൽപ്പന VPN പൂളിനെ നിയമത്തിന്റെ വിദൂര വിലാസ വ്യവസ്ഥയിലേക്ക് ചേർക്കുന്നു. അപ്പോൾ സെർവർ ഓരോ ക്ലയന്റിന്റെയും ടണൽ വിലാസം കാണുന്നു, അതിനാൽ അതിന്റെ ലോഗുകൾ ഒരു വിദൂര ഉപയോക്താവിനെ മറ്റൊരാളിൽ നിന്ന് വേർതിരിക്കാൻ കഴിയും. രണ്ടാം രൂപകൽപ്പന VPN ട്രാഫിക്കിനെ സെർവർ കാണുന്നതിന് മുമ്പ് LAN വിലാസത്തിലേക്ക് വിവർത്തനം ചെയ്യുന്ന ഗേറ്റ്വേയിലൂടെ റൂട്ട് ചെയ്യുന്നു. അത് കണക്റ്റിവിറ്റി പുനഃസ്ഥാപിക്കുകയും അതേ ഘട്ടത്തിൽ വ്യത്യാസം നീക്കുകയും ചെയ്യുന്നു.
പട്ടിക വിലാസങ്ങളല്ല, റോളുകളാണ് വിവരിക്കുന്നത്, ഏത് വരി ബാധകമെന്ന് നിങ്ങളുടെ സ്വന്തം പ്രിഫിക്സുകൾ തീരുമാനിക്കുന്നു. ബ്ലോഗ് പോസ്റ്റിൽ നിന്ന് ഉദാഹരണം പകർത്തുന്നതിന് പകരം സെർവറിന്റെ യഥാർത്ഥ മൂല്യങ്ങൾ അച്ചടിക്കുക:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthപട്ടിക ഒരു തീരുമാന സഹായിയാണ്, ഓരോ വിന്യാസത്തെക്കുറിച്ചുള്ള പ്രസ്താവനയല്ല. അധിക ഇന്റർഫേസുകൾ, രണ്ടാം സൈറ്റ് ലിങ്ക് അല്ലെങ്കിൽ മറ്റൊരു മാസ്ക് ഉള്ള ഹോസ്റ്റിന് വ്യത്യസ്ത പ്രാദേശിക ഗണമുണ്ട്.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft-ന്റെ New-NetFirewallRule റഫറൻസ് വിദൂര വിലാസ വ്യവസ്ഥകളും LocalSubnet കീവേഡും രേഖപ്പെടുത്തുന്നു. കീവേഡ് എല്ലാ സ്വകാര്യ വിലാസങ്ങളും അർത്ഥമാക്കുന്നു എന്ന് തീരുമാനിക്കുന്നതിന് മുമ്പ് അത് വായിക്കുക, കാരണം അങ്ങനെയല്ല.
സെർവർ യഥാർത്ഥത്തിൽ സ്വീകരിക്കുന്നത് താരതമ്യം ചെയ്യുക
ആരോ ഓർമ്മിക്കുന്ന നിയമത്തിന് പകരം ഫലപ്രദമായ നിയമം വായിക്കുക. അത് പ്രവർത്തനക്ഷമമാണോ, സജീവ പ്രൊഫൈലിൽ ബാധകമാണോ, അതിന്റെ വിദൂര വിലാസ വ്യവസ്ഥ സെർവർ കാണുന്ന ഉറവിടവുമായി പൊരുത്തപ്പെടുന്നുണ്ടോ എന്ന് പരിശോധിക്കുക. Domain പ്രൊഫൈലിൽ മാത്രം പ്രവർത്തനക്ഷമമായ നിയമം നെറ്റ്വർക്ക് മാറ്റത്തിന് ശേഷം അഡാപ്റ്റർ Public-ലേക്ക് മാറുമ്പോൾ ഒന്നും ചെയ്യുന്നില്ല.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionആദ്യ കമാൻഡ് ഫയൽ ഷെയറിംഗ് നിയമങ്ങളോട് ബന്ധിപ്പിച്ച വിലാസ ഫിൽട്ടറുകൾ അച്ചടിക്കുന്നു, രണ്ടാമത്തേത് ഏത് പ്രൊഫൈലുകൾ സജീവമാണെന്നും പൊരുത്തപ്പെടാത്ത ഇൻബൗണ്ട് ട്രാഫിക് എങ്ങനെ കൈകാര്യം ചെയ്യുന്നുവെന്നും കാണിക്കുന്നു. ബ്ലോക്കിംഗ് നിയമവും കേന്ദ്രീകൃതമായി കൈകാര്യം ചെയ്യുന്ന നയവും നോക്കുക. ബ്ലോക്ക് നിയമങ്ങൾക്ക് അനുവാദ നിയമങ്ങളേക്കാൾ മുൻഗണനയുണ്ട്, പ്രാദേശിക നിയമ ലയനം പ്രവർത്തനരഹിതമാക്കുന്ന നയം പുതിയ പ്രാദേശിക ഒഴിവാക്കലിനെ ഫലപ്രദമല്ലാതാക്കാം.
നിയമം കൺസോളിൽ ശരിയായി കാണപ്പെടുകയും ട്രാഫിക്കിൽ യാതൊരു സ്വാധീനവും ചെലുത്താതിരിക്കുകയും ചെയ്യുന്ന സന്ദർഭമാണിത്. അതേ സമയം പ്രൊഫൈൽ അസൈൻമെന്റ് പരിശോധിക്കുക, കാരണം മറ്റൊരു നെറ്റ്വർക്കിൽ ചേർന്ന ലാപ്ടോപ്പ് ആരും ഫയർവാളിൽ തൊടാതെ Public പ്രൊഫൈലിലേക്ക് മാറാം.
ലോഗിൻ ചെയ്യുന്നതിന് മുമ്പ് ട്രാൻസ്പോർട്ട് പരിശോധിക്കുക
പ്രാപ്യതയെ ഓതന്റിക്കേഷനിൽ നിന്ന് വേർതിരിക്കുക. TCP 445-ലെ ലിസണർ ഒരു സേവനം പോർട്ടിലേക്ക് ബന്ധിപ്പിച്ചിട്ടുണ്ടെന്ന് തെളിയിക്കുന്നു; വിദൂര പാക്കറ്റിന് അതിൽ എത്താൻ കഴിയുമെന്ന് തെളിയിക്കുന്നില്ല. പൂർത്തിയായ TCP കണക്ഷൻ, അതാകട്ടെ, SMB സെഷൻ സജ്ജീകരണത്തെക്കുറിച്ചോ ഷെയർ അനുമതികളെക്കുറിച്ചോ ഇപ്പോഴും ഒന്നും പറയുന്നില്ല. നിയമം തിരുത്തുന്നതിന് മുമ്പ് ഇരുവശത്തുനിന്നും ഹാൻഡ്ഷേക്ക് പരിശോധിക്കുക.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel Detailedആദ്യ കമാൻഡ് നിങ്ങൾ പ്രവർത്തിപ്പിക്കുന്ന മെഷീനിൽ നിന്ന് TCP ഹാൻഡ്ഷേക്ക് വിജയിക്കുന്നുണ്ടോ എന്ന് റിപ്പോർട്ട് ചെയ്യുന്നു, രണ്ടാമത്തേത് പരിഹരിച്ച വിലാസവും ഇന്റർഫേസ് വിശദാംശങ്ങളും ചേർക്കുന്നു. VPN ക്ലയന്റിൽ നിന്നും ഓഫീസ് ഡെസ്ക്ടോപ്പിൽ നിന്നും ഇത് പ്രവർത്തിപ്പിച്ച് താരതമ്യം ചെയ്യുക. Ping രണ്ട് ചോദ്യങ്ങൾക്കും ഉത്തരം നൽകുന്നില്ല, കാരണം SMB തുറന്നിരിക്കുമ്പോൾ ICMP തടയപ്പെടാം, അല്ലെങ്കിൽ ഫയർവാൾ 445 ഡ്രോപ്പ് ചെയ്യുമ്പോൾ അനുവദിക്കപ്പെടാം.
VPN-ൽ നിന്ന് മാത്രം ഹാൻഡ്ഷേക്ക് പരാജയപ്പെട്ടാൽ, ഉറവിട പരിധിയാണ് പ്രധാന സംശയം. അത് വിജയിക്കുകയും ഷെയർ ഇപ്പോഴും നിരസിക്കുകയും ചെയ്താൽ, ഫയർവാൾ നിയമങ്ങൾ തിരുത്തുന്നതിന് പകരം SMB സെഷനും അനുമതി രോഗനിർണയത്തിലേക്ക് പോകുക.
ഉറവിട NAT വ്യത്യാസം നീക്കുമ്പോൾ
പാതയിൽ വിവർത്തനമുണ്ടെങ്കിൽ, വ്യക്തിഗത VPN ക്ലയന്റുകളെ സെർവറിന് വിലാസം കൊണ്ട് വേർതിരിക്കാൻ കഴിയില്ല. ഓരോ വിദൂര ഉപയോക്താവും ഗേറ്റ്വേയായി വരുന്നു. അവരെ വേർതിരിക്കുന്നതിനെ ആശ്രയിക്കുന്ന ഏതൊരു അധികാരവും അവരുടെ ഐഡന്റിറ്റികൾ ഇപ്പോഴും കാണാവുന്നിടത്ത് നടപ്പാക്കണം, അതായത് സാധാരണയായി VPN കോൺസൺട്രേറ്റർ അല്ലെങ്കിൽ ഓതന്റിക്കേറ്റ് ചെയ്യുന്ന പ്രോക്സി. ഫയർവാൾ നിയമത്തിന് ട്രാഫിക് അനുവദിക്കാം; വിവർത്തനം നീക്കിയ വ്യത്യാസം അതിന് പുനഃസ്ഥാപിക്കാനാകില്ല.
ആ ഗേറ്റ്വേ വിലാസം അനുവദിച്ചുകഴിഞ്ഞാൽ, ഓരോ വിദൂര ഉപയോക്താവും ഒരൊറ്റ വിലാസത്തിന് കീഴിൽ രേഖപ്പെടുത്തുന്നു, അതിനാൽ ഗേറ്റ്വേയിൽ എത്താൻ കഴിയുന്ന ഏവർക്കും നിയമം മുഴുവൻ പൂളും നൽകുന്നു. ഓരോ ഉപയോക്താവിനുമുള്ള തീരുമാനം പ്രധാനമാണെങ്കിൽ, യഥാർത്ഥ വിലാസങ്ങൾ കാണാവുന്നതായി നിലനിർത്തുക അല്ലെങ്കിൽ ഉപയോക്താവിനെ ഇപ്പോഴും അറിയുന്ന പാളിയിലേക്ക് തീരുമാനം മാറ്റുക. അല്ലാത്തപക്ഷം ഓരോ വിദൂര ഉപയോക്താവും സെർവറിന് കാണാവുന്ന ഒരൊറ്റ വിലാസത്തിന്റെ അനുമതികൾ പാരമ്പര്യമായി സ്വീകരിക്കുന്നു, ഓഡിറ്റ് ട്രെയിലിന് പിന്നീട് അവരെ വേർതിരിക്കാനാകില്ല. അത് ഒരു രൂപകൽപ്പന തീരുമാനമാണ്, ഫയർവാളിന്റെ വിശദാംശമല്ല.
രണ്ട് രൂപകൽപ്പനകൾക്കിടയിൽ ബോധപൂർവ്വം തിരഞ്ഞെടുക്കുക. ആരാണ് കണക്ട് ചെയ്തതെന്ന് സെർവർ കാണേണ്ടിവരുമ്പോൾ നിയമം യഥാർത്ഥ VPN പൂളിലേക്ക് പരിമിതപ്പെടുത്തുക, സെർവറിന് ആ വിവരം ശരിക്കും ആവശ്യമില്ലാത്തപ്പോൾ മാത്രം വിവർത്തനം ചെയ്ത പാത സ്വീകരിക്കുക. തിരഞ്ഞെടുത്ത ഉറവിട ശ്രേണി നിയമത്തിന് അടുത്ത് രേഖപ്പെടുത്തുക, കാരണം ഇത് ഡീബഗ് ചെയ്യുന്ന അടുത്ത വ്യക്തി ആദ്യം വിലാസ പട്ടിക നോക്കും.