LocalSubnet f'regola tal-firewall SMB mhux se tkopri l-klijenti VPN
Regola ta' permess b'LocalSubnet tkopri s-subnets tal-server stess, mhux pool VPN róutat. Qabbel l-indirizz tas-sors li jara s-server qabel ma twessa' l-ambitu.
Id-desktops tal-uffiċċju jaslu għall-kondiviżjoni, l-utenti VPN jispiċċa l-ħin, u l-istess kont jaħdem minn hotspot tat-telefon. Il-permessi tal-kondiviżjoni rarament huma d-differenza; l-indirizz li jasal għas-server tal-fajls normalment huwa. Regola limitata għal LocalSubnet tammetti s-subnets konnessi tas-server stess, u pool VPN róutat separat mhuwiex wieħed minnhom. Żewġ disinni jagħlqu dan il-vojt, u jħallu rekords ferm differenti.
Żewġ disinni, sintomu wieħed
L-ewwel disinn iżid il-pool VPN mal-kundizzjoni tal-indirizz remot tar-regola. Is-server imbagħad jara l-indirizz tat-tunnel ta' kull klijent, u għalhekk ir-rekords tiegħu jistgħu jifirdu utent remot minn ieħor. It-tieni disinn jirrotta t-traffiku VPN minn gateway li jittraduċih f'indirizz LAN qabel ma s-server jarah. Dan jirrestawra l-konnettività u jneħħi d-distinzjoni fl-istess pass.
It-tabella tiddeskrivi rwoli aktar milli indirizzi, u l-prefissi tiegħek stess jiddeċiedu liema ringiela tapplika. Ipprintja l-valuri reali tas-server minflok ma tikkopja eżempju minn post tal-blog:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthIt-tabella hija għajnuna għad-deċiżjoni, mhux dikjarazzjoni dwar kull implimentazzjoni. Host b'interfaces żejda, rabta ta' sit ieħor jew maskra differenti għandu sett lokali differenti.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Ir-referenza New-NetFirewallRule ta' Microsoft tiddokumenta l-kundizzjonijiet tal-indirizz remot u l-kelma prinċipali LocalSubnet. Aqraha qabel tiddeċiedi li l-kelma prinċipali tfisser l-indirizzi privati kollha, għax mhuwiex hekk.
Qabbel dak li s-server fil-fatt jirċievi
Aqra r-regola effettiva minflok dik li xi ħadd jiftakar li ħoloq. Ivverifika li hija attivata, li tapplika għall-profil attiv, u li l-kundizzjoni tal-indirizz remot tagħha taqbel mas-sors li jara s-server. Regola attivata biss fuq il-profil Domain ma tagħmel xejn meta l-adapter mexa għal Public wara bidla fin-netwerk.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionL-ewwel ordni tipprintja l-filtri tal-indirizz marbuta mar-regoli tal-kondiviżjoni tal-fajls, u t-tieni turi liema profili huma attivi u kif jiġi trattat traffiku deħlin li ma jaqbilx. Fittex ukoll regola ta' blokka u politika ġestita b'mod ċentrali. Ir-regoli ta' blokka jieħdu preċedenza fuq ir-regoli ta' permess, u politika li tiddiżattiva l-għaqda tar-regoli lokali tista' tagħmel eċċezzjoni lokali ġdida ineffettiva.
Dan huwa l-każ fejn ir-regola tidher tajba fil-console u m'għandha l-ebda effett fuq it-traffiku. Ivverifika l-assenjazzjoni tal-profil fl-istess ħin, għax laptop li ngħaqad ma' netwerk ieħor jista' jmur għall-profil Public mingħajr ma ħadd imiss il-firewall.
Ittestja t-trasport qabel il-login
Issepara l-aċċessibbiltà mill-awtentikazzjoni. Xandara fuq TCP 445 tipprova li servizz huwa marbut mal-port; ma tipprovax li pakkett remot jista' jasal għalih. Konnessjoni TCP kompluta, min-naħa l-oħra, għadha ma tgħid xejn dwar l-istabbiliment tas-sessjoni SMB jew il-permessi tal-kondiviżjoni. Ittestja l-handshake miż-żewġ naħat qabel ma tedita regola.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedL-ewwel ordni tirrapporta jekk handshake TCP jirnexxix mill-magna li fiha taħdem, u t-tieni żżid l-indirizz riżolt u d-dettalji tal-interface. Mexxiha mill-klijent VPN u mid-desktop tal-uffiċċju, imbagħad qabbel. Ping ma jwieġeb l-ebda waħda miż-żewġ mistoqsijiet, għax ICMP jista' jiġi mblukkat waqt li SMB ikun miftuħ, jew permess waqt li l-firewall jittfa' 445.
Jekk il-handshake ifalli biss mill-VPN, l-ambitu tas-sors huwa l-akbar suspettat. Jekk jirnexxi u l-kondiviżjoni xorta tirrifjutak, mur għad-dijanjosi tas-sessjoni u tal-permessi SMB minflok ma tedita r-regoli tal-firewall.
Meta NAT tas-sors ineħħi d-distinzjoni
Bit-traduzzjoni fil-passaġġ, is-server ma jistax jiddistingwi klijenti VPN individwali bl-indirizz. Kull utent remot jasal bħala l-gateway. Kwalunkwe awtorizzazzjoni li tiddependi fuq li tiddistingwihom trid tiġi infurzata fejn l-identitajiet tagħhom għadhom jidhru, li normalment ifisser il-konċentratur VPN jew proxy li jawtentika. Ir-regola tal-firewall tista' tammetti traffiku; ma tistax tirrestawra distinzjoni li t-traduzzjoni neħħet.
Ladarba dak l-indirizz tal-gateway jiġi permess, kull utent remot jiġi rreġistrat taħt indirizz wieħed, għalhekk ir-regola tagħti l-pool kollu lil kull min jista' jasal għall-gateway. Jekk tiddeċiedi għal kull utent huwa importanti, żomm l-indirizzi oriġinali viżibbli jew mexwi d-deċiżjoni għal saff li għadu jaf l-utent. Inkella kull utent remot jiret il-permessi ta' dak l-indirizz wieħed li s-server jista' jara, u l-traċċa tal-awditjar ma tistax tiddistingwihom aktar tard. Din hija deċiżjoni tad-disinn, mhux dettall tal-firewall.
Agħżel b'mod deliberat bejn iż-żewġ disinni. Illimita r-regola għall-pool VPN reali meta s-server irid jara min qabbad, u aċċetta l-passaġġ tradott biss meta s-server verament m'għandux bżonn dik l-informazzjoni. Innota l-firxa tas-sors magħżula ħdejn ir-regola, għax il-persuna li jmiss se tiddubugja dan l-ewwel tħares lejn it-tabella tal-indirizzi.