LocalSubnet i en SMB-brannmurregel dekker ikke VPN-klienter
En tillatelsesregel med LocalSubnet dekker serverens egne subnett, ikke en rutet VPN-pool. Sammenlign kildeadressen serveren ser før du utvider omfanget.
Kontordatamaskiner når delingen, VPN-brukere får tidsavbrudd, og samme konto fungerer fra et mobilhotspot. Delingstillatelsene er sjelden forskjellen; adressen som kommer til filserveren er det vanligvis. En regel begrenset til LocalSubnet slipper inn serverens egne tilkoblede subnett, og en separat rutet VPN-pool er ikke ett av dem. To design lukker gapet, og de etterlater svært ulike logger.
To design, ett symptom
Det første designet legger VPN-poolen til regelens betingelse for ekstern adresse. Serveren ser da tunneladressen til hver klient, slik at loggene kan skille én ekstern bruker fra en annen. Det andre designet ruter VPN-trafikk gjennom en gateway som oversetter den til en LAN-adresse før serveren ser den. Det gjenoppretter tilkoblingen og fjerner forskjellen i samme trinn.
Tabellen beskriver roller og ikke adresser, og dine egne prefikser avgjør hvilken rad som gjelder. Skriv ut serverens faktiske verdier i stedet for å kopiere et eksempel fra et blogginnlegg:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTabellen er en beslutningsstøtte, ikke en påstand om hver utrulling. En vert med ekstra grensesnitt, en annen områdelink eller en annen maske har et annet lokalt sett.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsofts referanse for New-NetFirewallRule dokumenterer betingelsene for ekstern adresse og nøkkelordet LocalSubnet. Les den før du bestemmer at nøkkelordet betyr alle private adresser, for det gjør det ikke.
Sammenlign det serveren faktisk mottar
Les den effektive regelen i stedet for den noen husker at de opprettet. Kontroller at den er aktivert, gjelder den aktive profilen, og at betingelsen for ekstern adresse stemmer med kilden serveren ser. En regel som bare er aktivert på Domain-profilen, gjør ingenting når adapteren har gått over til Public etter en nettverksendring.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionDen første kommandoen skriver ut adressefiltrene som er knyttet til fildelingsreglene, og den andre viser hvilke profiler som er aktive og hvordan innkommende trafikk som ikke samsvarer, behandles. Se også etter en blokkeringsregel og en sentralt administrert policy. Blokkeringsregler går foran tillatelsesregler, og en policy som slår av sammenslåing av lokale regler kan gjøre et nytt lokalt unntak uten virkning.
Det er tilfellet der regelen ser riktig ut i konsollen og ikke har noen effekt på trafikken. Kontroller profiltilordningen samtidig, for en bærbar PC som har koblet seg til et annet nettverk, kan flytte til Public-profilen uten at noen rører brannmuren.
Test transporten før pålogging
Skill tilgjengelighet fra autentisering. En lytter på TCP 445 beviser at en tjeneste er bundet til porten; det beviser ikke at en ekstern pakke kan nå den. En fullført TCP-tilkobling sier på sin side ennå ingenting om oppsett av SMB-økten eller delingstillatelser. Test håndtrykket fra begge sider før du redigerer en regel.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedDen første kommandoen rapporterer om et TCP-håndtrykk lykkes fra maskinen du kjører den på, og den andre legger til den oppslåtte adressen og grensesnittdetaljer. Kjør den fra VPN-klienten og fra en kontordatamaskin, og sammenlign. Ping svarer ikke på noen av spørsmålene, fordi ICMP kan være blokkert mens SMB er åpen, eller tillatt mens brannmuren dropper 445.
Hvis håndtrykket mislykkes bare fra VPN, er kildeomfanget hovedmistenkten. Hvis det lykkes og delingen fortsatt nekter deg, gå til diagnose av SMB-økt og tillatelser i stedet for å redigere brannmurregler.
Når kilde-NAT fjerner forskjellen
Med oversetting i banen kan ikke serveren skille enkelte VPN-klienter fra hverandre etter adresse. Hver ekstern bruker kommer inn som gatewayen. Enhver autorisasjon som avhenger av å skille dem, må håndheves der identitetene deres fortsatt er synlige, som vanligvis betyr VPN-konsentratoren eller en autentiserende proxy. Brannmurregelen kan slippe inn trafikk; den kan ikke gjenopprette en forskjell som oversettingen fjernet.
Når den gatewayadressen er tillatt, registreres hver ekstern bruker under én enkelt adresse, slik at regelen gir hele poolen til alle som kan nå gatewayen. Hvis en beslutning per bruker er viktig, hold de opprinnelige adressene synlige eller flytt beslutningen til et lag som fortsatt kjenner brukeren. Ellers arver hver ekstern bruker tillatelsene til den ene adressen serveren kan se, og revisjonssporet kan ikke skille dem etterpå. Det er en designbeslutning, ikke en brannmurdetalj.
Velg bevisst mellom de to designene. Begrens regelen til den virkelige VPN-poolen når serveren må se hvem som koblet til, og godta den oversatte banen bare når serveren virkelig ikke trenger den informasjonen. Noter det valgte kildeområdet ved siden av regelen, fordi neste person som feilsøker dette, vil se på adressetabellen først.