LocalSubnet dalam peraturan firewall SMB tidak akan meliputi klien VPN

Desktop pejabat mencapai perkongsian, pengguna VPN tamat masa, dan akaun yang sama berfungsi dari hotspot telefon. Kebenaran perkongsian jarang menjadi perbezaan; alamat yang tiba di pelayan fail biasanya menjadi perbezaannya. Peraturan yang terhad kepada LocalSubnet membenarkan subnet bersambung pelayan itu sendiri, dan kumpulan VPN yang dihalakan secara berasingan bukan salah satunya. Dua reka bentuk menutup jurang itu, dan kedua-duanya meninggalkan rekod yang sangat berbeza.

Dua reka bentuk, satu gejala

Reka bentuk pertama menambah kumpulan VPN pada syarat alamat jauh peraturan. Pelayan kemudian melihat alamat terowong setiap klien, jadi lognya boleh memisahkan seorang pengguna jauh daripada yang lain. Reka bentuk kedua menghalakan trafik VPN melalui get laluan yang menterjemahkannya kepada alamat LAN sebelum pelayan melihatnya. Itu memulihkan sambungan dan menghapuskan perbezaan dalam langkah yang sama.

Jadual itu menerangkan peranan dan bukan alamat, dan awalan anda sendiri menentukan baris mana yang terpakai. Cetak nilai sebenar pelayan dan bukannya menyalin contoh daripada catatan blog:

Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLength

Jadual itu ialah alat bantu keputusan, bukan dakwaan tentang setiap penggunaan. Hos dengan antara muka tambahan, pautan tapak kedua atau topeng berbeza mempunyai set tempatan yang berbeza.

Rujukan New-NetFirewallRule Microsoft mendokumentasikan syarat alamat jauh dan kata kunci LocalSubnet. Bacalah sebelum anda memutuskan bahawa kata kunci itu bermaksud semua alamat peribadi, kerana ia tidak.

Bandingkan apa yang sebenarnya diterima pelayan

Baca peraturan berkesan dan bukannya yang seseorang ingat telah dicipta. Periksa bahawa ia didayakan, terpakai pada profil aktif, dan syarat alamat jauhnya sepadan dengan sumber yang dilihat pelayan. Peraturan yang didayakan hanya pada profil Domain tidak melakukan apa-apa apabila penyesuai telah beralih ke Public selepas perubahan rangkaian.

Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Perintah pertama mencetak penapis alamat yang dilampirkan pada peraturan perkongsian fail, dan yang kedua menunjukkan profil mana yang aktif serta cara trafik masuk yang tidak sepadan diuruskan. Cari juga peraturan menyekat dan dasar yang diurus secara berpusat. Peraturan menyekat mengatasi peraturan kebenaran, dan dasar yang melumpuhkan penggabungan peraturan tempatan boleh menjadikan pengecualian tempatan baharu tidak berkesan.

Itulah kes apabila peraturan kelihatan betul dalam konsol dan tidak mempunyai kesan pada trafik. Periksa penetapan profil pada masa yang sama, kerana komputer riba yang menyertai rangkaian lain boleh beralih ke profil Public tanpa sesiapa menyentuh firewall.

Uji pengangkutan sebelum log masuk

Pisahkan kebolehcapaian daripada pengesahan. Pendengar pada TCP 445 membuktikan perkhidmatan terikat pada port itu; ia tidak membuktikan paket jauh boleh mencapainya. Sambungan TCP yang selesai pula belum mengatakan apa-apa tentang penyediaan sesi SMB atau kebenaran perkongsian. Uji jabat tangan dari kedua-dua belah pihak sebelum anda mengedit peraturan.

Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel Detailed

Perintah pertama melaporkan sama ada jabat tangan TCP berjaya dari mesin tempat anda menjalankannya, dan yang kedua menambah alamat yang diselesaikan serta butiran antara muka. Jalankannya dari klien VPN dan dari desktop pejabat, kemudian bandingkan. Ping tidak menjawab sama ada soalan itu, kerana ICMP mungkin disekat semasa SMB terbuka, atau dibenarkan semasa firewall menggugurkan 445.

Jika jabat tangan gagal hanya dari VPN, skop sumber ialah suspek utama. Jika ia berjaya dan perkongsian masih menolak anda, beralih kepada diagnosis sesi dan kebenaran SMB dan bukannya mengedit peraturan firewall.

Apabila NAT sumber menghapuskan perbezaan

Dengan terjemahan dalam laluan, pelayan tidak boleh membezakan klien VPN individu melalui alamat. Setiap pengguna jauh tiba sebagai get laluan. Sebarang kebenaran yang bergantung pada membezakan mereka mesti dikuatkuasakan di tempat identiti mereka masih kelihatan, yang biasanya bermakna konsentrator VPN atau proksi pengesahan. Peraturan firewall boleh menerima trafik; ia tidak boleh memulihkan perbezaan yang telah dihapuskan oleh terjemahan.

Sebaik sahaja alamat get laluan itu dibenarkan, setiap pengguna jauh direkodkan di bawah satu alamat, jadi peraturan itu memberikan seluruh kumpulan kepada sesiapa yang boleh mencapai get laluan. Jika keputusan setiap pengguna penting, kekalkan alamat asal kelihatan atau pindahkan keputusan ke lapisan yang masih mengenali pengguna. Jika tidak, setiap pengguna jauh mewarisi kebenaran alamat tunggal yang dapat dilihat pelayan, dan jejak audit tidak dapat membezakan mereka selepas itu. Itu keputusan reka bentuk, bukan butiran firewall.

Pilih secara sedar antara kedua-dua reka bentuk. Hadkan peraturan kepada kumpulan VPN sebenar apabila pelayan mesti melihat siapa yang bersambung, dan terima laluan terjemahan hanya apabila pelayan benar-benar tidak memerlukan maklumat itu. Catat julat sumber yang dipilih di sebelah peraturan, kerana orang seterusnya yang menyahpepijat ini akan melihat jadual alamat dahulu.