SMB галт хананы дүрэм дэх LocalSubnet нь VPN клиентуудыг хамахгүй
LocalSubnet зөвшөөрлийн дүрэм нь серверийн өөрийн дэд сүлжээг хамардаг бөгөөд чиглүүлсэн VPN пулыг хамахгүй. Хүрээг өргөтгөхөөс өмнө серверийн харж буй эх хаягтай харьцуулна уу.
Оффисын ажлын станцууд хуваалцсан хавтаст хүрдэг, VPN хэрэглэгчид хугацаа хэтэрдэг, мөн ижил бүртгэл нь гар утасны хотспотоос ажилладаг. Хуваалцсан хавтасны зөвшөөрөл нь ялгаа болох нь ховор; файлын серверт ирэх хаяг ихэвчлэн ялгаа болдог. LocalSubnet-д хязгаарлагдсан дүрэм нь серверийн өөрийн холбогдсон дэд сүлжээг нэвтрүүлдэг бөгөөд тусдаа чиглүүлсэн VPN пул нь тэдний нэг биш юм. Хоёр загвар энэ цоорхойг хааж, ард нь огт өөр бүртгэл үлдээдэг.
Хоёр загвар, нэг шинж
Эхний загвар нь VPN пулыг дүрмийн алсын хаягийн нөхцөлд нэмдэг. Дараа нь сервер клиент бүрийн туннелийн хаягийг хардаг тул түүний логууд нэг алсын хэрэглэгчийг нөгөөгөөс ялгаж чадна. Хоёр дахь загвар нь VPN урсгалыг сервер харахаас өмнө LAN хаяг руу хөрвүүлдэг гарцаар чиглүүлдэг. Энэ нь холболтыг сэргээж, яг тэр алхамд ялгааг арилгадаг.
Хүснэгт нь хаяг биш, үүргийг дүрсэлдэг бөгөөд аль мөр хамаарахыг таны өөрийн префиксүүд шийднэ. Блогийн нийтлэлээс жишээ хуулахын оронд серверийн бодит утгуудыг хэвлээрэй:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthХүснэгт нь шийдвэр гаргахад туслах хэрэгсэл бөгөөд байрлуулалт бүрийн тухай мэдэгдэл биш юм. Нэмэлт интерфейс, хоёр дахь сайтын холбоос эсвэл өөр масктай хост нь өөр локал багцтай байдаг.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft-ийн New-NetFirewallRule лавлагаа нь алсын хаягийн нөхцөл болон LocalSubnet түлхүүр үгийг баримтжуулдаг. Түлхүүр үг нь бүх хувийн хаягийг илэрхийлдэг гэж шийдэхээс өмнө уншина уу, учир нь тийм биш.
Сервер үнэхээр юу хүлээн авдагийг харьцуул
Хэн нэгний санаж байгаа дүрмийг биш, үйлчлэгч дүрмийг уншина уу. Энэ нь идэвхжсэн эсэх, идэвхтэй профайлд хамаарах эсэх, алсын хаягийн нөхцөл нь серверийн харж буй эхтэй тохирч байгаа эсэхийг шалгана уу. Зөвхөн Domain профайлд идэвхжсэн дүрэм нь сүлжээний өөрчлөлтийн дараа адаптер Public руу шилжсэн үед юу ч хийдэггүй.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionЭхний команд нь файл хуваалцах дүрмүүдэд хавсаргасан хаягийн шүүлтүүрийг хэвлэдэг, хоёр дахь нь аль профайл идэвхтэй, тохирохгүй орж ирэх урсгалыг хэрхэн шийдвэрлэж байгааг харуулдаг. Блоклох дүрэм болон төвлөрсөн удирдлагын бодлогыг мөн хайна уу. Блоклох дүрэм нь зөвшөөрлийн дүрмээс давуу бөгөөд локал дүрмийг нэгтгэхийг идэвхгүй болгох бодлого нь шинэ локал үл хамаарах зүйлийг үр дүнгүй болгож болно.
Энэ нь дүрэм консол дээр зөв харагдаж, урсгалд ямар ч нөлөө үзүүлэхгүй байх тохиолдол юм. Яг тэр үед профайлын хуваарилалтыг шалгана уу, учир нь өөр сүлжээнд нэгдсэн зөөврийн компьютер нь хэн ч галт хананд хүрэлгүйгээр Public профайл руу шилжиж болно.
Нэвтрэхээс өмнө тээврийг шалга
Хүртээмжийг баталгаажуулалтаас салга. TCP 445 дээрх сонсогч нь үйлчилгээ портод холбогдсон гэдгийг нотолдог; алсын пакет түүнд хүрч чадна гэдгийг нотолдоггүй. Харин дууссан TCP холболт нь SMB сессийн тохиргоо эсвэл хуваалцах зөвшөөрлийн талаар одоохондоо юу ч хэлэхгүй. Дүрмийг засахаас өмнө гар барилтыг хоёр талаас шалгана уу.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedЭхний команд нь таны ажиллуулж буй машинаас TCP гар барилт амжилттай болж байгаа эсэхийг мэдээлдэг, хоёр дахь нь шийдэгдсэн хаяг болон интерфейсийн дэлгэрэнгүй мэдээллийг нэмдэг. Үүнийг VPN клиент болон оффисын ажлын станцаас ажиллуулаад харьцуулна уу. Ping нь хоёр асуултын аль нэгэнд нь хариулдаггүй, учир нь SMB нээлттэй үед ICMP блоклогдож болно, эсвэл галт хана 445-ыг хаяж байхад зөвшөөрөгдөж болно.
Хэрэв гар барилт зөвхөн VPN-ээс бүтэлгүйтвэл эх хүрээ нь гол сэжигтэн юм. Хэрэв амжилттай болж, хуваалцсан хавтас таныг буцаахгүй бол галт хананы дүрмийг засахын оронд SMB сесс болон зөвшөөрлийн оношилгоо руу шилжинэ үү.
Эх NAT ялгааг арилгах үед
Замын дунд хөрвүүлэлт байвал сервер бие даасан VPN клиентүүдийг хаягаар ялгаж чадахгүй. Алсын хэрэглэгч бүр гарц хэлбэрээр ирдэг. Тэднийг ялгахад тулгуурласан аливаа зөвшөөрөл нь тэдний таних мэдээлэл харагдаж байгаа газарт хэрэгжих ёстой бөгөөд энэ нь ихэвчлэн VPN төвлөрүүлэгч эсвэл баталгаажуулах проксийг хэлнэ. Галт хананы дүрэм урсгалыг нэвтрүүлж чадна; хөрвүүлэлтийн арилгасан ялгааг сэргээж чадахгүй.
Тэр гарцын хаягийг зөвшөөрсний дараа алсын хэрэглэгч бүр нэг хаягийн дор бүртгэгддэг тул дүрэм нь гарцад хүрч чадах хүн бүрт бүх пулыг өгдөг. Хэрэв хэрэглэгч тус бүрийн шийдвэр чухал бол анхны хаягуудыг харагдахуйц байлгах эсвэл шийдвэрийг хэрэглэгчийг мэддэг давхарга руу шилжүүлнэ үү. Эс бөгөөс алсын хэрэглэгч бүр серверийн харж чадах цорын ганц хаягийн зөвшөөрлийг өвлөн авч, аудитын мөр дараа нь тэднийг ялгаж чадахгүй. Энэ нь загварын шийдвэр бөгөөд галт хананы нарийн ширийн зүйл биш юм.
Хоёр загварын аль нэгийг зориудон сонгоно уу. Сервер хэн холбогдсоныг харах ёстой үед дүрмийг бодит VPN пулаар хязгаарлаж, серверт энэ мэдээлэл үнэхээр хэрэггүй үед л хөрвүүлсэн замыг хүлээн авна уу. Сонгосон эх мужийг дүрмийн хажууд тэмдэглээрэй, учир нь үүнийг дибаг хийх дараагийн хүн эхлээд хаягийн хүснэгтийг харна.