SMB ਫਾਇਰਵਾਲ ਨਿਯਮ ਵਿੱਚ LocalSubnet VPN ਕਲਾਇੰਟਾਂ ਨੂੰ ਨਹੀਂ ਢਕੇਗਾ
LocalSubnet ਇਜਾਜ਼ਤ ਨਿਯਮ ਸਰਵਰ ਦੇ ਆਪਣੇ ਸਬਨੈੱਟਾਂ ਨੂੰ ਢਕਦਾ ਹੈ, ਰੂਟ ਕੀਤੇ VPN ਪੂਲ ਨੂੰ ਨਹੀਂ। ਦਾਇਰਾ ਵਧਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਸਰਵਰ ਵੱਲੋਂ ਦੇਖੇ ਸਰੋਤ ਪਤੇ ਦੀ ਤੁਲਨਾ ਕਰੋ।
ਦਫ਼ਤਰ ਦੇ ਡੈਸਕਟਾਪ ਸ਼ੇਅਰ ਤੱਕ ਪਹੁੰਚਦੇ ਹਨ, VPN ਵਰਤੋਂਕਾਰਾਂ ਦਾ ਸਮਾਂ ਖ਼ਤਮ ਹੋ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਉਹੀ ਖਾਤਾ ਮੋਬਾਈਲ ਹਾਟਸਪਾਟ ਤੋਂ ਕੰਮ ਕਰਦਾ ਹੈ। ਸ਼ੇਅਰ ਇਜਾਜ਼ਤਾਂ ਘੱਟ ਹੀ ਫ਼ਰਕ ਹੁੰਦੀਆਂ ਹਨ; ਫਾਈਲ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲਾ ਪਤਾ ਆਮ ਤੌਰ 'ਤੇ ਫ਼ਰਕ ਹੁੰਦਾ ਹੈ। LocalSubnet ਤੱਕ ਸੀਮਤ ਨਿਯਮ ਸਰਵਰ ਦੇ ਆਪਣੇ ਜੁੜੇ ਸਬਨੈੱਟਾਂ ਨੂੰ ਦਾਖ਼ਲਾ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਰੂਟ ਕੀਤਾ VPN ਪੂਲ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨਹੀਂ। ਦੋ ਡਿਜ਼ਾਈਨ ਇਹ ਖੱਡ ਭਰਦੇ ਹਨ, ਅਤੇ ਉਹ ਬਹੁਤ ਵੱਖਰੇ ਰਿਕਾਰਡ ਪਿੱਛੇ ਛੱਡਦੇ ਹਨ।
ਦੋ ਡਿਜ਼ਾਈਨ, ਇੱਕ ਲੱਛਣ
ਪਹਿਲਾ ਡਿਜ਼ਾਈਨ ਨਿਯਮ ਦੀ ਦੂਰਲੇ ਪਤੇ ਦੀ ਸ਼ਰਤ ਵਿੱਚ VPN ਪੂਲ ਜੋੜਦਾ ਹੈ। ਫਿਰ ਸਰਵਰ ਹਰ ਕਲਾਇੰਟ ਦਾ ਟਨਲ ਪਤਾ ਦੇਖਦਾ ਹੈ, ਇਸ ਲਈ ਇਸ ਦੇ ਲੌਗ ਇੱਕ ਦੂਰਲੇ ਵਰਤੋਂਕਾਰ ਨੂੰ ਦੂਜੇ ਤੋਂ ਵੱਖ ਕਰ ਸਕਦੇ ਹਨ। ਦੂਜਾ ਡਿਜ਼ਾਈਨ VPN ਟ੍ਰੈਫ਼ਿਕ ਨੂੰ ਸਰਵਰ ਦੇਖਣ ਤੋਂ ਪਹਿਲਾਂ LAN ਪਤੇ ਵਿੱਚ ਅਨੁਵਾਦ ਕਰਨ ਵਾਲੇ ਗੇਟਵੇ ਰਾਹੀਂ ਰੂਟ ਕਰਦਾ ਹੈ। ਇਹ ਕਨੈਕਟੀਵਿਟੀ ਬਹਾਲ ਕਰਦਾ ਹੈ ਅਤੇ ਉਸੇ ਕਦਮ ਵਿੱਚ ਫ਼ਰਕ ਹਟਾ ਦਿੰਦਾ ਹੈ।
ਸਾਰਣੀ ਪਤਿਆਂ ਦੀ ਬਜਾਏ ਭੂਮਿਕਾਵਾਂ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ, ਅਤੇ ਕਿਹੜੀ ਕਤਾਰ ਲਾਗੂ ਹੁੰਦੀ ਹੈ ਇਹ ਤੁਹਾਡੇ ਆਪਣੇ ਪ੍ਰੀਫ਼ਿਕਸ ਤੈਅ ਕਰਦੇ ਹਨ। ਬਲੌਗ ਪੋਸਟ ਤੋਂ ਉਦਾਹਰਨ ਕਾਪੀ ਕਰਨ ਦੀ ਬਜਾਏ ਸਰਵਰ ਦੇ ਅਸਲ ਮੁੱਲ ਪ੍ਰਿੰਟ ਕਰੋ:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthਸਾਰਣੀ ਫ਼ੈਸਲੇ ਲਈ ਸਹਾਇਕ ਹੈ, ਹਰ ਤੈਨਾਤੀ ਬਾਰੇ ਦਾਅਵਾ ਨਹੀਂ। ਵਾਧੂ ਇੰਟਰਫ਼ੇਸ, ਦੂਜੀ ਸਾਈਟ ਲਿੰਕ ਜਾਂ ਵੱਖਰੇ ਮਾਸਕ ਵਾਲੇ ਹੋਸਟ ਦਾ ਸਥਾਨਕ ਸਮੂਹ ਵੱਖਰਾ ਹੁੰਦਾ ਹੈ।
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft ਦਾ New-NetFirewallRule ਸੰਦਰਭ ਦੂਰਲੇ ਪਤੇ ਦੀਆਂ ਸ਼ਰਤਾਂ ਅਤੇ LocalSubnet ਕੀਵਰਡ ਦਾ ਦਸਤਾਵੇਜ਼ ਬਣਾਉਂਦਾ ਹੈ। ਇਹ ਤੈਅ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਕੀਵਰਡ ਦਾ ਅਰਥ ਸਾਰੇ ਨਿੱਜੀ ਪਤੇ ਹਨ, ਇਸਨੂੰ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਅਜਿਹਾ ਨਹੀਂ ਹੈ।
ਸਰਵਰ ਅਸਲ ਵਿੱਚ ਕੀ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ, ਇਸ ਦੀ ਤੁਲਨਾ ਕਰੋ
ਕਿਸੇ ਦੇ ਯਾਦ ਰੱਖੇ ਨਿਯਮ ਦੀ ਬਜਾਏ ਪ੍ਰਭਾਵੀ ਨਿਯਮ ਪੜ੍ਹੋ। ਜਾਂਚੋ ਕਿ ਇਹ ਸਮਰੱਥ ਹੈ, ਸਰਗਰਮ ਪ੍ਰੋਫ਼ਾਈਲ 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਇਸ ਦੀ ਦੂਰਲੇ ਪਤੇ ਦੀ ਸ਼ਰਤ ਸਰਵਰ ਵੱਲੋਂ ਦੇਖੇ ਸਰੋਤ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਹੈ। ਸਿਰਫ਼ Domain ਪ੍ਰੋਫ਼ਾਈਲ 'ਤੇ ਸਮਰੱਥ ਨਿਯਮ ਨੈੱਟਵਰਕ ਬਦਲਣ ਤੋਂ ਬਾਅਦ ਐਡਾਪਟਰ ਦੇ Public 'ਤੇ ਜਾਣ 'ਤੇ ਕੁਝ ਨਹੀਂ ਕਰਦਾ।
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionਪਹਿਲਾ ਕਮਾਂਡ ਫਾਈਲ ਸ਼ੇਅਰਿੰਗ ਨਿਯਮਾਂ ਨਾਲ ਜੁੜੇ ਪਤਾ ਫਿਲਟਰ ਪ੍ਰਿੰਟ ਕਰਦਾ ਹੈ, ਅਤੇ ਦੂਜਾ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਕਿਹੜੇ ਪ੍ਰੋਫ਼ਾਈਲ ਸਰਗਰਮ ਹਨ ਅਤੇ ਨਾ-ਮਿਲਦੇ ਇਨਬਾਊਂਡ ਟ੍ਰੈਫ਼ਿਕ ਨਾਲ ਕਿਵੇਂ ਵਿਵਹਾਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਬਲੌਕਿੰਗ ਨਿਯਮ ਅਤੇ ਕੇਂਦਰੀ ਤੌਰ 'ਤੇ ਪ੍ਰਬੰਧਿਤ ਨੀਤੀ ਵੀ ਲੱਭੋ। ਬਲੌਕ ਨਿਯਮ ਇਜਾਜ਼ਤ ਨਿਯਮਾਂ ਤੋਂ ਪਹਿਲਾਂ ਲਾਗੂ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਸਥਾਨਕ ਨਿਯਮ ਮਿਲਾਉਣ ਨੂੰ ਬੰਦ ਕਰਨ ਵਾਲੀ ਨੀਤੀ ਨਵੇਂ ਸਥਾਨਕ ਅਪਵਾਦ ਨੂੰ ਬੇਅਸਰ ਕਰ ਸਕਦੀ ਹੈ।
ਇਹ ਉਹ ਸਥਿਤੀ ਹੈ ਜਿੱਥੇ ਨਿਯਮ ਕੰਸੋਲ ਵਿੱਚ ਸਹੀ ਦਿਸਦਾ ਹੈ ਅਤੇ ਟ੍ਰੈਫ਼ਿਕ 'ਤੇ ਕੋਈ ਅਸਰ ਨਹੀਂ ਪਾਉਂਦਾ। ਉਸੇ ਸਮੇਂ ਪ੍ਰੋਫ਼ਾਈਲ ਨਿਰਧਾਰਣ ਦੀ ਜਾਂਚ ਕਰੋ, ਕਿਉਂਕਿ ਦੂਜੇ ਨੈੱਟਵਰਕ ਵਿੱਚ ਸ਼ਾਮਲ ਲੈਪਟਾਪ ਬਿਨਾਂ ਕਿਸੇ ਦੇ ਫਾਇਰਵਾਲ ਨੂੰ ਛੂਹੇ Public ਪ੍ਰੋਫ਼ਾਈਲ 'ਤੇ ਜਾ ਸਕਦਾ ਹੈ।
ਲੌਗਇਨ ਤੋਂ ਪਹਿਲਾਂ ਟ੍ਰਾਂਸਪੋਰਟ ਦੀ ਜਾਂਚ ਕਰੋ
ਪਹੁੰਚ ਨੂੰ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਵੱਖ ਕਰੋ। TCP 445 'ਤੇ ਲਿਸਨਰ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਸੇਵਾ ਪੋਰਟ ਨਾਲ ਬੱਝੀ ਹੈ; ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਦੂਰਲਾ ਪੈਕਟ ਉੱਥੇ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। ਪੂਰਾ ਹੋਇਆ TCP ਕਨੈਕਸ਼ਨ, ਬਦਲੇ ਵਿੱਚ, SMB ਸੈਸ਼ਨ ਸੈੱਟਅੱਪ ਜਾਂ ਸ਼ੇਅਰ ਇਜਾਜ਼ਤਾਂ ਬਾਰੇ ਅਜੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ। ਨਿਯਮ ਦੀ ਸੋਧ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵਾਂ ਪਾਸਿਆਂ ਤੋਂ ਹੈਂਡਸ਼ੇਕ ਦੀ ਜਾਂਚ ਕਰੋ।
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel Detailedਪਹਿਲਾ ਕਮਾਂਡ ਦੱਸਦਾ ਹੈ ਕਿ ਜਿਸ ਮਸ਼ੀਨ ਤੋਂ ਤੁਸੀਂ ਇਹ ਚਲਾਉਂਦੇ ਹੋ ਉੱਥੋਂ TCP ਹੈਂਡਸ਼ੇਕ ਸਫਲ ਹੁੰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਦੂਜਾ ਹੱਲ ਕੀਤਾ ਪਤਾ ਅਤੇ ਇੰਟਰਫ਼ੇਸ ਵੇਰਵੇ ਜੋੜਦਾ ਹੈ। ਇਸਨੂੰ VPN ਕਲਾਇੰਟ ਅਤੇ ਦਫ਼ਤਰ ਦੇ ਡੈਸਕਟਾਪ ਤੋਂ ਚਲਾਓ, ਫਿਰ ਤੁਲਨਾ ਕਰੋ। Ping ਦੋਵਾਂ ਸਵਾਲਾਂ ਦਾ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦਾ, ਕਿਉਂਕਿ SMB ਖੁੱਲ੍ਹਾ ਹੋਣ ਸਮੇਂ ICMP ਬਲੌਕ ਹੋ ਸਕਦਾ ਹੈ, ਜਾਂ ਫਾਇਰਵਾਲ 445 ਸੁੱਟਦੇ ਸਮੇਂ ਇਜਾਜ਼ਤ ਹੋ ਸਕਦਾ ਹੈ।
ਜੇ ਹੈਂਡਸ਼ੇਕ ਸਿਰਫ਼ VPN ਤੋਂ ਅਸਫਲ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਸਰੋਤ ਦਾਇਰਾ ਮੁੱਖ ਸ਼ੱਕੀ ਹੈ। ਜੇ ਇਹ ਸਫਲ ਹੁੰਦਾ ਹੈ ਅਤੇ ਸ਼ੇਅਰ ਅਜੇ ਵੀ ਮਨ੍ਹਾ ਕਰਦਾ ਹੈ, ਤਾਂ ਫਾਇਰਵਾਲ ਨਿਯਮ ਸੋਧਣ ਦੀ ਬਜਾਏ SMB ਸੈਸ਼ਨ ਅਤੇ ਇਜਾਜ਼ਤ ਨਿਦਾਨ ਵੱਲ ਜਾਓ।
ਜਦੋਂ ਸਰੋਤ NAT ਫ਼ਰਕ ਹਟਾ ਦਿੰਦਾ ਹੈ
ਜੇ ਰਾਹ ਵਿੱਚ ਅਨੁਵਾਦ ਹੈ, ਤਾਂ ਸਰਵਰ ਵੱਖਰੇ VPN ਕਲਾਇੰਟਾਂ ਨੂੰ ਪਤੇ ਨਾਲ ਵੱਖ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਹਰ ਦੂਰਲਾ ਵਰਤੋਂਕਾਰ ਗੇਟਵੇ ਵਜੋਂ ਆਉਂਦਾ ਹੈ। ਉਨ੍ਹਾਂ ਨੂੰ ਵੱਖ ਕਰਨ 'ਤੇ ਨਿਰਭਰ ਕੋਈ ਵੀ ਅਧਿਕਾਰ ਉੱਥੇ ਲਾਗੂ ਕਰਨਾ ਪਵੇਗਾ ਜਿੱਥੇ ਉਨ੍ਹਾਂ ਦੀਆਂ ਪਛਾਣਾਂ ਅਜੇ ਦਿਸਦੀਆਂ ਹਨ, ਜਿਸਦਾ ਆਮ ਅਰਥ VPN ਕੰਸਨਟ੍ਰੇਟਰ ਜਾਂ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਵਾਲਾ ਪ੍ਰੌਕਸੀ ਹੈ। ਫਾਇਰਵਾਲ ਨਿਯਮ ਟ੍ਰੈਫ਼ਿਕ ਨੂੰ ਦਾਖ਼ਲਾ ਦੇ ਸਕਦਾ ਹੈ; ਅਨੁਵਾਦ ਵੱਲੋਂ ਹਟਾਇਆ ਫ਼ਰਕ ਇਹ ਬਹਾਲ ਨਹੀਂ ਕਰ ਸਕਦਾ।
ਇੱਕ ਵਾਰ ਉਹ ਗੇਟਵੇ ਪਤਾ ਮਨਜ਼ੂਰ ਹੋ ਗਿਆ, ਤਾਂ ਹਰ ਦੂਰਲਾ ਵਰਤੋਂਕਾਰ ਇੱਕੋ ਪਤੇ ਹੇਠ ਦਰਜ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਨਿਯਮ ਪੂਰਾ ਪੂਲ ਉਸ ਹਰ ਵਿਅਕਤੀ ਨੂੰ ਦੇ ਦਿੰਦਾ ਹੈ ਜੋ ਗੇਟਵੇ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। ਜੇ ਪ੍ਰਤੀ-ਵਰਤੋਂਕਾਰ ਫ਼ੈਸਲਾ ਮਹੱਤਵਪੂਰਨ ਹੈ, ਤਾਂ ਅਸਲ ਪਤੇ ਦਿਸਦੇ ਰੱਖੋ ਜਾਂ ਫ਼ੈਸਲੇ ਨੂੰ ਉਸ ਪਰਤ 'ਤੇ ਲੈ ਜਾਓ ਜੋ ਅਜੇ ਵੀ ਵਰਤੋਂਕਾਰ ਨੂੰ ਜਾਣਦੀ ਹੈ। ਨਹੀਂ ਤਾਂ ਹਰ ਦੂਰਲਾ ਵਰਤੋਂਕਾਰ ਉਸ ਇੱਕੋ ਪਤੇ ਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਵਿਰਾਸਤ ਵਿੱਚ ਪਾਉਂਦਾ ਹੈ ਜੋ ਸਰਵਰ ਦੇਖ ਸਕਦਾ ਹੈ, ਅਤੇ ਆਡਿਟ ਟ੍ਰੇਲ ਬਾਅਦ ਵਿੱਚ ਉਨ੍ਹਾਂ ਨੂੰ ਵੱਖ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਇਹ ਡਿਜ਼ਾਈਨ ਫ਼ੈਸਲਾ ਹੈ, ਫਾਇਰਵਾਲ ਦੀ ਵਿਸਥਾਰ ਨਹੀਂ।
ਦੋਵਾਂ ਡਿਜ਼ਾਈਨਾਂ ਵਿੱਚੋਂ ਜਾਣ-ਬੁੱਝ ਕੇ ਚੁਣੋ। ਜਦੋਂ ਸਰਵਰ ਨੂੰ ਦੇਖਣਾ ਹੋਵੇ ਕਿ ਕੌਣ ਜੁੜਿਆ, ਤਾਂ ਨਿਯਮ ਨੂੰ ਅਸਲ VPN ਪੂਲ ਤੱਕ ਸੀਮਤ ਕਰੋ, ਅਤੇ ਅਨੁਵਾਦਿਤ ਰਾਹ ਨੂੰ ਸਿਰਫ਼ ਤਦ ਹੀ ਸਵੀਕਾਰ ਕਰੋ ਜਦੋਂ ਸਰਵਰ ਨੂੰ ਉਹ ਜਾਣਕਾਰੀ ਸੱਚਮੁੱਚ ਲੋੜੀਂਦੀ ਨਾ ਹੋਵੇ। ਚੁਣੀ ਸਰੋਤ ਰੇਂਜ ਨਿਯਮ ਦੇ ਕੋਲ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਇਸਨੂੰ ਡੀਬੱਗ ਕਰਨ ਵਾਲਾ ਅਗਲਾ ਵਿਅਕਤੀ ਪਹਿਲਾਂ ਪਤਾ ਸਾਰਣੀ ਵੇਖੇਗਾ।