په SMB فایرول قاعده کې LocalSubnet VPN کلاینټان نه پوښي
د LocalSubnet اجازه قاعده د سرور خپلې فرعي شبکې پوښي، نه روټ شوی VPN پول۔ د لړۍ د پراخولو دمخه هغه سرچینه پته پرتله کړئ چې سرور یې ویني۔
د دفتر ډیسکټاپونه شریکې پانګې ته رسېږي، VPN کاروونکي وخت تېرېږي، او هماغه حساب د موبایل هټسپاټ څخه کار کوي۔ د شریکې پانګې اجازې په ندرت توپیر وي؛ هغه پته چې فایل سرور ته رسېږي معمولاً توپیر وي۔ LocalSubnet ته محدوده قاعده د سرور خپلې نښلول شوې فرعي شبکې تېرېږي، او جلا روټ شوی VPN پول د هغوی یوه نه ده۔ دوه ډیزاینونه دا تشه بندوي، او ډېر بېل ثبتونه پرېږدي۔
دوه ډیزاینونه، یوه نښه
لومړی ډیزاین VPN پول د قاعدې د لرې پتې شرط ته ورزیاتوي۔ بیا سرور د هر کلاینټ د تونل پته ویني، نو د هغې ثبتونه کولای شي یو لرې کاروونکی له بل څخه جلا کړي۔ دوهم ډیزاین VPN ترافیک د هغې دروازې له لارې روټ کوي چې سرور ته له لیدو دمخه یې LAN پتې ته ژباړي۔ دا اړیکه بیرته راولي او په هماغه ګام کې توپیر لرې کوي۔
جدول د پتو پرځای رولونه بیانوي، او کومه کرښه پلي کېږي هغه ستاسو خپل مخکښونه ټاکي۔ د بلاګ پوسټ څخه بېلګه کاپي کولو پرځای د سرور ریښتیني ارزښتونه چاپ کړئ:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthجدول د پرېکړې مرستندوی دی، د هر ځای پر ځای کولو په اړه ادعا نه ده۔ د اضافي انټرفېسونو، دوهم سایټ لینک یا بل ماسک لرونکی هوسټ بل محلي ټولګه لري۔
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
د Microsoft New-NetFirewallRule حواله د لرې پتې شرطونه او LocalSubnet کلیدي کلمه مستنده کوي۔ دا ولولئ دمخه لدې چې پرېکړه وکړئ چې کلیدي کلمه ټولې شخصي پتې مانا کوي، ځکه چې داسې نه ده۔
پرتله کړئ چې سرور په رښتیا څه ترلاسه کوي
هغه قاعده ولولئ چې واقعاً نافذ ده، نه هغه چې یو څوک یاد وي چې جوړه کړې یې ده۔ وګورئ چې فعاله ده، په فعالي پروفایل پلي کېږي، او د لرې پتې شرط یې له هغې سرچینې سره سمون لري چې سرور یې ویني۔ یوه قاعده چې یوازې په Domain پروفایل فعاله وي هېڅ نه کوي کله چې د شبکې بدلون وروسته اډاپټر Public ته تللی وي۔
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionلومړی امر د فایل شریکولو قاعدو سره تړلي پتې فلټرونه چاپوي، او دوهم ښیي چې کوم پروفایلونه فعال دي او له ناسم راټول شوي ترافیک سره څنګه چلند کېږي۔ د بندولو قاعده او مرکزي مدیریت شوې پالیسي هم ولټوئ۔ د بندولو قاعدې د اجازې قاعدو څخه مخکې دي، او هغه پالیسي چې د محلي قاعدو یوځای کول بندوي کولای شي نوې محلي استثنا بې اغېزې کړي۔
دا هغه حالت دی چې قاعده په کنسول کې سمه ښکاري او پر ترافیک هېڅ اغېزه نه لري۔ په هماغه وخت کې د پروفایل ګومارنه وګورئ، ځکه لپ ټاپ چې بلې شبکې ته ورننوتلی وي کولای شي پرته لدې چې څوک فایرول ته لاس ورواړوي Public پروفایل ته واوړي۔
مخکې لدې چې ننوځئ ټرانسپورټ وآزمویئ
رسېدنه له تصدیق څخه جلا کړئ۔ په TCP 445 اورېدونکی ثابتوي چې یوه خدمت پورت ته تړلی دی؛ دا نه ثابتوي چې لرې بسته کولای شي هغه ته ورسېږي۔ بشپړه شوې TCP اړیکه، له بلې خوا، لا تر اوسه د SMB غونډې جوړېدو یا د شریکې پانګې اجازو په اړه هېڅ نه وایي۔ د قاعدې له سمون دمخه د دواړو خواوو څخه لاس ورکول وآزمویئ۔
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel Detailedلومړی امر راپور ورکوي چې آیا د هغې ماشین څخه چې تاسو یې چلوئ TCP لاس ورکول بریالي کېږي، او دوهم حل شوې پته او انټرفېس توضیحات ورزیاتوي۔ دا له VPN کلاینټ او د دفتر ډیسکټاپ څخه چلوئ، بیا پرتله کړئ۔ Ping د دواړو پوښتنو ځواب نه ورکوي، ځکه ICMP کېدای شي بند وي پداسې حال کې چې SMB خلاص دی، یا اجازه وي پداسې حال کې چې فایرول 445 غورځوي۔
که لاس ورکول یوازې له VPN څخه ناکام شي، د سرچینې لړۍ اصلي شک دی۔ که بریالی شي او شریکه پانګه لا هم انکار وکړي، د فایرول قاعدو له سمولو پرځای SMB غونډې او اجازو تشخیص ته ولاړ شئ۔
کله چې د سرچینې NAT توپیر لرې کوي
کله چې په لار کې ژباړه وي، سرور نشي کولای انفرادي VPN کلاینټان په پته جلا کړي۔ هر لرې کاروونکی د دروازې په توګه راځي۔ هر هغه اجازه چې پر جلا کولو تکیه وي باید هغه ځای پلي شي چې هلته یې هویتونه لا هم ښکاري، چې معمولاً VPN مرکز یا تصدیق کوونکی پروکسي مانا کوي۔ د فایرول قاعده کولای شي ترافیک تېر کړي؛ هغه توپیر چې ژباړې لرې کړی بیا نشي راوستلای۔
کله چې هغه د دروازې پته اجازه شي، هر لرې کاروونکی د یوې پتې لاندې ثبتېږي، نو قاعده ټول پول هر هغه چا ته ورکوي چې دروازې ته رسېدلی شي۔ که د هر کاروونکي پرېکړه مهمه وي، اصلي پتې ښکاره وساتئ یا پرېکړه هغه پوړ ته یوسئ چې لا هم کاروونکی پېژني۔ که نه، هر لرې کاروونکی د هغې یوې پتې اجازې په میراث وړي چې سرور یې ویني، او د پلټنې لړ وروسته نشي کولای هغوی جلا کړي۔ دا د ډیزاین پرېکړه ده، د فایرول تفصیل نه دی۔
د دوو ډیزاینونو ترمنځ په قصد سره غوره کړئ۔ کله چې سرور باید وویني چې څوک نښلول شوی، قاعده اصلي VPN پول ته محدوده کړئ، او ژباړل شوې لار یوازې هغه وخت ومنئ چې سرور ته هغه معلومات واقعاً نه وي اړین۔ غوره شوې سرچینه لړ د قاعدې ترڅنګ ولیکئ، ځکه راتلونکی څوک چې دا تصحیح کوي لومړی د پتو جدول ته ګوري۔