IIS Manager na daljinu: prvo provjerite vlastitu adresu WMSVC-a

Vaša stranica odgovara na 443 kroz tunel, a IIS Manager se ipak ne može povezati s poslužiteljem. Taj par rezultata nije proturječje, jer su web stranica i krajnja točka daljinske administracije dva slušača s dvije konfiguracije i dva skupa pravila pristupa. Onaj za upravljanje pripada Web Management Service, WMSVC, i ima vlastitu adresu, port, certifikat i IPv4 ograničenja. Provjerite tu krajnju točku prije nego dotaknete i jednu rutu.

Dva slušača, dva različita problema

Zahtjev prema stranici dolazi do HTTP.sys vezivanja te stranice, koje se definira po stranici i po protokolu u applicationHost konfiguraciji. Zahtjev iz IIS Manager dolazi do WMSVC-a, koji prema zadanim postavkama odgovara HTTPS-om na TCP 8172 i konfigurira se na razini poslužitelja. Ništa u vezivanju stranice ne mijenja gdje WMSVC sluša, i ništa u WMSVC-u ne mijenja na koju adresu stranica odgovara. Dijele stroj i spremište certifikata, i tu sličnost prestaje.

Dakle uspješan Test-NetConnection prema portu 443 govori da je slušač stranice dostupan, i ništa o upravljanju.

Pronađite adresu na koju je WMSVC stvarno vezan

Pitajte poslužitelj što sada sluša, a ne što je bilo konfigurirano prije godina. Get-NetTCPConnection -LocalPort 8172 -State Listen ispisuje lokalnu adresu, a vrijednost 0.0.0.0 ili :: znači sve adrese, dok određena adresa znači samo tu. Ako se adresiranje poslužitelja promijenilo, slušač koji je još uvijek prikvačen na povučenu adresu upravo je kvar koji ova provjera hvata.

Konfigurirana vrijednost nalazi se na stranici Management Service u IIS Manageru na čvoru poslužitelja, a iza nje u administration.config u konfiguracijskom direktoriju inetsrv. Usporedite oboje: što kaže datoteka i na što je socket stvarno vezan.

Zatim pokrenite Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed s pogođenog VPN klijenta i pročitajte razriješenu adresu i odabranu izvornu adresu. Drugačiji DNS odgovor na VPN-u dovoljno je čest da ga vrijedi rano isključiti. Sačuvajte u tiketu točno to ime hosta i port, jer kasnija usporedba s drugim imenom ništa ne dokazuje o promjeni koju ste napravili.

Pročitajte izvornu adresu koju poslužitelj vidi

IPv4 ograničenja WMSVC-a procjenjuju se prema adresi koja dolazi na poslužitelj, koja nije uvijek adresa koju vaše prijenosno računalo misli da ima. Ako se VPN pool negdje na putu prevodi, poslužitelj vidi prevedenu adresu, a popis dopuštenih izgrađen od klijentove unutarnje adrese odbit će je. To odbijanje s klijentske strane izgleda kao neuspjeh veze, zato se često pogrešno dijagnosticira kao problem usmjeravanja.

Upotrijebite detaljan izlaz TCP testa, zajedno s poslužiteljevom vlastitom tablicom veza, kako biste vidjeli koja je izvorna adresa stvarno stigla prije nego uredite popis ograničenja.

Promijenite vezivanje kao promjenu usluge

WMSVC se mora zaustaviti prije uređivanja njegove konfiguracije, zato to planirajte kao promjenu s drugim dostupnim putem upravljanja, poput pristupa konzoli ili udaljene sesije koja ne ovisi o IIS Manageru. Zaustavite uslugu, primijenite promjenu adrese, porta ili certifikata, zatim je pokrenite i potvrdite da se slušač premjestio. Svatko drugi tko koristi udaljenu IIS administraciju gubi sesiju u tom razdoblju. Obavijestite ostale administratore prije nego se razdoblje otvori; otkriti to usred promjene način je na koji dvije osobe završe uređujući isti slušač.

Odabir svih adresa legitiman je izbor, ali tretirajte ga kao odluku o pristupu, a ne kao prečac. Proširivanje slušača dok popis ograničenja ostaje otvoren način je na koji upravljačka krajnja točka završi izložena na mreži koju nitko nije namjeravao. Ako poslužitelj ima nekoliko NIC-ova, ograničite slušač na upravljačko sučelje, ostavite podatkovni put na miru i potvrdite da stranica još uvijek odgovara na vlastitoj adresi.

Certifikat koji WMSVC predstavlja odabire se odvojeno od certifikata stranice. Ako promijenite adresu, potvrdite da certifikat još uvijek odgovara imenu hosta koje klijenti koriste, inače će veza kasnije pasti na TLS koraku sa pritužbom koja nema veze s usmjeravanjem.

Odvojite dostupnost od povjerenja i dopuštenja

Kad TCP uspije, preostali kvarovi su poredani: TLS povjerenje za upravljački certifikat, zatim Windows provjera autentičnosti, zatim IIS Manager dopuštenja dodijeljena tom računu. Svaki od njih daje drugu pogrešku i nijedan se ne rješava rutom ili pravilom vatrozida. Čitajte tekst pogreške doslovno umjesto ponovnog pokretanja usluge.

Prođite četiri provjere tim redom, krajnja točka, slušač, izvorna adresa, povjerenje, i obično ćete naći zastarjelo vezivanje prije nego nađete mrežni problem.