IIS Manager na diaľku: najprv skontrolujte vlastnú adresu WMSVC

Váš web odpovedá na 443 cez tunel a IIS Manager sa stále nevie pripojiť k serveru. Táto dvojica výsledkov nie je protirečenie, pretože web a koncový bod vzdialenej správy sú dvaja poslucháči s dvoma konfiguráciami a dvoma sadami pravidiel prístupu. Ten správcovský patrí Web Management Service, WMSVC, a má vlastnú adresu, port, certifikát a obmedzenia IPv4. Skontrolujte tento koncový bod, skôr než sa dotknete čo i len jednej trasy.

Dvaja poslucháči, dva rôzne problémy

Požiadavka na web sa dostane k prepojeniu HTTP.sys tohto webu, ktoré je definované pre každý web a protokol v konfigurácii applicationHost. Požiadavka z IIS Manager sa dostane k WMSVC, ktorý predvolene odpovedá HTTPS na TCP 8172 a konfiguruje sa na úrovni servera. Nič v prepojení webu nemení, kde WMSVC počúva, a nič vo WMSVC nemení adresu, na ktorej web odpovedá. Zdieľajú stroj a úložisko certifikátov, a tam sa podobnosť končí.

Takže úspešný Test-NetConnection na port 443 hovorí, že poslucháč webu je dostupný, a nič o správe.

Nájdite adresu, ku ktorej je WMSVC skutočne pripojený

Spýtajte sa servera, na čo počúva teraz, nie čo bolo nakonfigurované pred rokmi. Get-NetTCPConnection -LocalPort 8172 -State Listen vypíše lokálnu adresu a hodnota 0.0.0.0 alebo :: znamená všetky adresy, kým konkrétna adresa znamená iba tú. Ak sa adresovanie servera zmenilo, poslucháč stále pripnutý k vyradenej adrese je presne tá porucha, ktorú toto overenie zachytí.

Nakonfigurovaná hodnota je na stránke Management Service v IIS Manager na uzle servera a za ňou v administration.config v konfiguračnom adresári inetsrv. Porovnajte obe: čo hovorí súbor a ku čomu je soket skutočne pripojený.

Potom spustite Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed z postihnutého klienta VPN a prečítajte si preloženú adresu a zvolenú zdrojovú adresu. Iná odpoveď DNS cez VPN je dosť bežná na to, aby sa dala vylúčiť skoro. Uložte do tiketu presne to meno hostiteľa a port, pretože neskoršie porovnanie s iným menom nič nedokazuje o zmene, ktorú ste urobili.

Prečítajte si zdrojovú adresu, ktorú server vidí

Obmedzenia IPv4 WMSVC sa vyhodnocujú voči adrese, ktorá príde na server, a to nie vždy je adresa, ktorú si váš notebook myslí, že má. Ak sa fond VPN niekde na ceste prekladá, server vidí preloženú adresu a zoznam povolení zostavený z vnútornej adresy klienta ju odmietne. Toto odmietnutie z pohľadu klienta vyzerá ako zlyhanie pripojenia, preto sa často nesprávne diagnostikuje ako problém smerovania.

Použite podrobný výstup testu TCP spolu s vlastnou tabuľkou pripojení servera, aby ste videli, ktorá zdrojová adresa skutočne dorazila, skôr než upravíte zoznam obmedzení.

Zmeňte prepojenie ako zmenu služby

WMSVC sa musí zastaviť pred úpravou konfigurácie, preto to naplánujte ako zmenu s inou dostupnou cestou správy, napríklad prístupom ku konzole alebo vzdialenou reláciou, ktorá nezávisí od IIS Manager. Zastavte službu, použite zmenu adresy, portu alebo certifikátu, potom ju spustite a potvrďte, že poslucháč sa presunul. Každý iný, kto používa vzdialenú správu IIS, v tom okne stratí reláciu. Informujte ostatných správcov pred otvorením okna; objaviť to uprostred zmeny je spôsob, akým dvaja ľudia začnú upravovať toho istého poslucháča.

Výber všetkých adries je legitímna možnosť, ale berte ho ako rozhodnutie o prístupe, nie ako skratku. Rozšírenie poslucháča pri otvorenom zozname obmedzení je spôsob, akým koncový bod správy skončí vystavený v sieti, ktorú nikto nezamýšľal. Ak má server viacero NIC, obmedzte poslucháča na rozhranie správy, nechajte dátovú cestu na pokoji a potvrďte, že web stále odpovedá na vlastnej adrese.

Certifikát, ktorý WMSVC predkladá, sa vyberá oddelene od certifikátov webu. Ak zmeníte adresu, potvrďte, že certifikát stále zodpovedá menu hostiteľa, ktoré používajú klienti, inak pripojenie neskôr zlyhá v kroku TLS so sťažnosťou, ktorá nemá nič spoločné so smerovaním.

Oddeľte dostupnosť od dôvery a oprávnení

Keď TCP uspeje, zostávajúce zlyhania sú usporiadané: dôvera TLS k certifikátu správy, potom overenie Windows, potom oprávnenia IIS Manager pridelené tomu účtu. Každé z nich dáva inú chybu a žiadne z nich nerieši trasa ani pravidlo firewallu. Čítajte text chyby doslovne namiesto opätovného spustenia služby.

Prejdite štyri kontroly v tomto poradí, koncový bod, poslucháč, zdrojová adresa, dôvera, a zvyčajne nájdete zastarané prepojenie skôr, než nájdete problém siete.