SMB ෆයර්වෝල් රීතියේ LocalSubnet VPN සේවාලාභීන් ආවරණය නොකරයි
LocalSubnet අවසර රීතිය සේවාදායකයාගේම උපජාලා ආවරණය කරයි, රවුට් කළ VPN තටාකය නොවේ. විෂය පථය පුළුල් කිරීමට පෙර සේවාදායකයා දකින මූලාශ්‍ර ලිපිනය සසඳන්න.
කාර්යාල ඩෙස්ක්ටොප් බෙදාගැනීමට ළඟා වේ, VPN පරිශීලකයන්ට කාලය ඉකුත් වේ, එම ගිණුමම ජංගම දුරකථන හොට්ස්පොට් එකකින් ක්‍රියා කරයි. බෙදාගැනීමේ අවසර බොහෝ විට වෙනස නොවේ; ගොනු සේවාදායකයට පැමිණෙන ලිපිනය සාමාන්‍යයෙන් වෙනස වේ. LocalSubnet දක්වා සීමා වූ රීතියක් සේවාදායකයාගේම සම්බන්ධිත උපජාලාවලට ඇතුළු වීමට ඉඩ දෙයි, වෙන වෙනම රවුට් කළ VPN තටාකය ඒවායින් එකක් නොවේ. මෝස්තර දෙකක් මෙම පරතරය පුරවයි, ඒවා ඉතා වෙනස් වාර්තා පිටුපස තබයි.
මෝස්තර දෙකක්, ලක්ෂණයක්
පළමු මෝස්තරය රීතියේ දුරස්ථ ලිපින කොන්දේසියට VPN තටාකය එකතු කරයි. එවිට සේවාදායකයා එක් එක් සේවාලාභියාගේ ටනල් ලිපිනය දකී, එබැවින් එහි ලොග එක් දුරස්ථ පරිශීලකයෙකු තවත් අයෙකුගෙන් වෙන් කළ හැක. දෙවන මෝස්තරය VPN ගමනාගමනය සේවාදායකයා දකින පෙර LAN ලිපිනයකට පරිවර්තනය කරන ගේට්වේ හරහා රවුට් කරයි. එය සම්බන්ධතාවය යථා තත්ත්වයට පත් කර එම පියවරේදීම වෙනස ඉවත් කරයි.
වගුව ලිපින වෙනුවට භූමිකා විස්තර කරයි, එමෙන්ම කුමන පේළිය අදාළ වේද යන්න ඔබේම උපසර්ග තීරණය කරයි. බ්ලොග් සටහනක උදාහරණයක් පිටපත් කරන වෙනුවට සේවාදායකයේ සැබෑ අගයන් මුද්‍රණය කරන්න:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthවගුව තීරණ සහායකයකි, සෑම යෙදවුමක් ගැනම ප්‍රකාශයක් නොවේ. අමතර අතුරුමුහුණත්, දෙවන අඩවි සබැඳියක් හෝ වෙනත් ආවරණයක් ඇති සත්කාරකයකට වෙනස් දේශීය කට්ටලයක් ඇත.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft හි New-NetFirewallRule යොමුව දුරස්ථ ලිපින කොන්දේසි සහ LocalSubnet යතුරු පදය ලේඛනගත කරයි. යතුරු පදය සියලු පුද්ගලික ලිපින අර්ථ දක්වන බව තීරණය කිරීමට පෙර එය කියවන්න, එසේ නොවන බැවිනි.
සේවාදායකයා සැබවින්ම ලබා ගන්නා දේ සසඳන්න
යමෙකු නිර්මාණය කළ බව මතක තබාගත් රීතිය වෙනුවට ඵලදායී රීතිය කියවන්න. එය සක්‍රීයද, සක්‍රීය පැතිකඩට අදාළද, එහි දුරස්ථ ලිපින කොන්දේසිය සේවාදායකයා දකින මූලාශ්‍රයට ගැළපේද යන්න පරීක්ෂා කරන්න. Domain පැතිකඩේ පමණක් සක්‍රීය රීතියක් ජාල වෙනසකින් පසු ඇඩැප්ටරය Public වෙත මාරු වූ විට කිසිවක් නොකරයි.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionපළමු විධානය ගොනු බෙදාගැනීමේ රීතිවලට සම්බන්ධ ලිපින පෙරහන් මුද්‍රණය කරයි, දෙවැන්න කුමන පැතිකඩ සක්‍රීයද සහ නොගැළපෙන ආගමන ගමනාගමනයට කෙසේ සැලකේද යන්න පෙන්වයි. අවහිර කිරීමේ රීතියක් සහ මධ්‍යමව කළමනාකරණය කරන ප්‍රතිපත්තියක් ද සොයන්න. අවහිර කිරීමේ රීති අවසර රීතිවලට වඩා ප්‍රමුඛ වේ, ස්ථානීය රීති ඒකාබද්ධ කිරීම අක්‍රීය කරන ප්‍රතිපත්තියක් නව ස්ථානීය ව්‍යතිරේකයක් ඵලදායී නොවන ලෙස තැබිය හැක.
රීතිය කොන්සෝලයේ නිවැරදිව පෙනෙන නමුත් ගමනාගමනයට කිසිදු බලපෑමක් නොමැති අවස්ථාව මෙයයි. එසේම පැතිකඩ පැවරීම පරීක්ෂා කරන්න, මන්ද වෙනත් ජාලයකට සම්බන්ධ වූ ලැප්ටොප් පරිගණකයක් කිසිවෙකු ෆයර්වෝලය ස්පර්ශ නොකර Public පැතිකඩට මාරු විය හැක.
පිවිසීමට පෙර ප්‍රවාහනය පරීක්ෂා කරන්න
ළඟාවීම හඳුනාගැනීමෙන් වෙන් කරන්න. TCP 445 හි ඇසෙන්නෙකු සේවාවක් වරායට බැඳී ඇති බව ඔප්පු කරයි; දුරස්ථ පැකට්ටුවකට එයට ළඟා විය හැකි බව ඔප්පු නොකරයි. සම්පූර්ණ වූ TCP සම්බන්ධතාවයක්, අනෙක් අතට, SMB සැසිය සැකසීම හෝ බෙදාගැනීමේ අවසර ගැන තවම කිසිවක් නොකියයි. රීතියක් සංස්කරණය කිරීමට පෙර දෙපැත්තෙන්ම අතට අත දීම පරීක්ෂා කරන්න.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel Detailedපළමු විධානය ඔබ එය ධාවනය කරන යන්ත්‍රයෙන් TCP අතට අත දීම සාර්ථක වේද යන්න වාර්තා කරයි, දෙවැන්න විසඳන ලද ලිපිනය සහ අතුරුමුහුණත් විස්තර එකතු කරයි. එය VPN සේවාලාභියාගෙන් සහ කාර්යාල ඩෙස්ක්ටොප් එකකින් ධාවනය කර පසුව සසඳන්න. Ping ප්‍රශ්න දෙකටම පිළිතුරු නොදෙයි, මන්ද SMB විවෘතව තිබියදී ICMP අවහිර විය හැක, නැතහොත් ෆයර්වෝලය 445 අත්හැර දමන විට අවසර දිය හැක.
අතට අත දීම VPN එකෙන් පමණක් අසාර්ථක වුවහොත්, මූලාශ්‍ර විෂය පථය ප්‍රධාන සැකකරුය. එය සාර්ථක වී බෙදාගැනීම තවමත් ප්‍රතික්ෂේප කරන්නේ නම්, ෆයර්වෝල් රීති සංස්කරණය කරන වෙනුවට SMB සැසිය සහ අවසර විනිශ්චය වෙත යන්න.
මූලාශ්‍ර NAT වෙනස ඉවත් කරන විට
මාර්ගයේ පරිවර්තනයක් ඇත්නම්, සේවාදායකයාට තනි VPN සේවාලාභීන් ලිපිනයෙන් වෙන් කළ නොහැක. සෑම දුරස්ථ පරිශීලකයෙකුම ගේට්වේ ලෙස පැමිණේ. ඔවුන් වෙන් කිරීම මත රඳා පවතින ඕනෑම අවසරයක් ඔවුන්ගේ අනන්‍යතා තවමත් දිස්වන තැනක බලාත්මක කළ යුතුය, එය සාමාන්‍යයෙන් VPN සාන්ද්‍රකය හෝ සත්‍යාපනය කරන ප්‍රොක්සිය යන්නයි. ෆයර්වෝල් රීතියට ගමනාගමනයට ඉඩ දිය හැක; පරිවර්තනය ඉවත් කළ වෙනස එයට යථා තත්ත්වයට පත් කළ නොහැක.
එම ගේට්වේ ලිපිනයට අවසර දුන් පසු, සෑම දුරස්ථ පරිශීලකයෙකුම එක් ලිපිනයක් යටතේ වාර්තා වේ, එබැවින් රීතිය ගේට්වේ වෙත ළඟා විය හැකි සෑම කෙනෙකුටම මුළු තටාකයම ලබා දෙයි. පරිශීලකයාට අදාළ තීරණයක් වැදගත් නම්, මුල් ලිපින දෘශ්‍යමානව තබන්න හෝ තීරණය තවමත් පරිශීලකයා හඳුනන ස්ථරයකට ගෙන යන්න. එසේ නොමැතිනම් සෑම දුරස්ථ පරිශීලකයෙකුම සේවාදායකයාට දැකිය හැකි එකම ලිපිනයේ අවසර උරුම කර ගනී, සහ විගණන මාර්ගයට පසුව ඔවුන් වෙන් කළ නොහැක. එය නිර්මාණ තීරණයකි, ෆයර්වෝල් විස්තරයක් නොවේ.
මෝස්තර දෙක අතරින් හිතාමතා තෝරන්න. කවුරුන් සම්බන්ධ වුණාද යන්න සේවාදායකයාට දැකගත යුතු විට රීතිය සැබෑ VPN තටාකයට සීමා කරන්න, සහ සේවාදායකයාට එම තොරතුරු සැබවින්ම අවශ්‍ය නොවන විට පමණක් පරිවර්තිත මාර්ගය පිළිගන්න. තෝරාගත් මූලාශ්‍ර පරාසය රීතිය අසල සටහන් කරන්න, මන්ද මෙය නිර්දෝෂී කරන ඊළඟ පුද්ගලයා මුලින්ම ලිපින වගුව දෙස බලනු ඇත.