LocalSubnet v pravidle brány SMB nebude pokrývať klientov VPN
Pravidlo povolenia s LocalSubnet pokrýva vlastné podsiete servera, nie smerovaný fond VPN. Pred rozšírením rozsahu porovnajte zdrojovú adresu, ktorú server vidí.
Kancelárske počítače sa dostanú k zdieľanému priečinku, používateľom VPN vyprší čas a ten istý účet funguje z mobilného hotspotu. Povolenia zdieľania sú zriedka rozdielom; adresa, ktorá dorazí na súborový server, ním zvyčajne je. Pravidlo obmedzené na LocalSubnet prepúšťa vlastné pripojené podsiete servera a samostatne smerovaný fond VPN nie je jednou z nich. Dva návrhy túto medzeru uzatvárajú a zanechávajú veľmi odlišné záznamy.
Dva návrhy, jeden príznak
Prvý návrh pridáva fond VPN do podmienky vzdialenej adresy pravidla. Server potom vidí tunelovú adresu každého klienta, takže jeho záznamy dokážu odlíšiť jedného vzdialeného používateľa od druhého. Druhý návrh smeruje prevádzku VPN cez bránu, ktorá ju preloží na adresu LAN skôr, než ju server uvidí. To obnoví pripojenie a v tom istom kroku odstráni rozdiel.
Tabuľka opisuje roly, nie adresy, a o tom, ktorý riadok platí, rozhodujú vaše vlastné prefixy. Vytlačte skutočné hodnoty servera namiesto kopírovania príkladu z blogového príspevku:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTabuľka je pomôcka pri rozhodovaní, nie tvrdenie o každom nasadení. Hostiteľ s ďalšími rozhraniami, druhým prepojením lokality alebo inou maskou má inú lokálnu množinu.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Referencia New-NetFirewallRule od Microsoftu dokumentuje podmienky vzdialenej adresy a kľúčové slovo LocalSubnet. Prečítajte si ju, než sa rozhodnete, že kľúčové slovo znamená všetky súkromné adresy, pretože neznamená.
Porovnajte, čo server skutočne prijíma
Čítajte účinné pravidlo, nie to, ktoré si niekto pamätá, že vytvoril. Skontrolujte, či je povolené, či sa vzťahuje na aktívny profil a či jeho podmienka vzdialenej adresy zodpovedá zdroju, ktorý server vidí. Pravidlo povolené iba v profile Domain nič nerobí, keď adaptér po zmene siete prešiel na Public.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionPrvý príkaz vypíše adresové filtre priradené pravidlám zdieľania súborov a druhý ukáže, ktoré profily sú aktívne a ako sa zaobchádza s nezodpovedajúcou prichádzajúcou prevádzkou. Hľadajte aj pravidlo blokovania a centrálne spravovanú politiku. Pravidlá blokovania majú prednosť pred povoľujúcimi a politika, ktorá vypína spájanie lokálnych pravidiel, môže novú lokálnu výnimku urobiť neúčinnou.
To je prípad, keď pravidlo v konzole vyzerá správne a nemá žiadny vplyv na prevádzku. Skontrolujte súčasne priradenie profilu, pretože notebook, ktorý sa pripojil k inej sieti, môže prejsť do profilu Public bez toho, aby sa niekto dotkol brány.
Otestujte transport pred prihlásením
Oddeľte dostupnosť od autentifikácie. Násluch na TCP 445 dokazuje, že služba je viazaná na port; nedokazuje, že vzdialený paket sa k nemu dostane. Dokončené TCP spojenie zase zatiaľ nič nehovorí o vytvorení relácie SMB ani o povoleniach zdieľania. Otestujte podanie ruky z oboch strán, než upravíte pravidlo.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedPrvý príkaz hlási, či podanie ruky TCP uspeje zo stroja, na ktorom ho spúšťate, a druhý pridáva preloženú adresu a podrobnosti rozhrania. Spustite ho z klienta VPN a z kancelárskeho počítača, potom porovnajte. Ping neodpovedá na žiadnu z týchto otázok, pretože ICMP môže byť zablokovaný, kým je SMB otvorené, alebo povolený, kým brána zahadzuje 445.
Ak podanie ruky zlyháva iba z VPN, zdrojový rozsah je hlavný podozrivý. Ak uspeje a zdieľanie vás stále odmieta, prejdite na diagnostiku relácie a povolení SMB namiesto úprav pravidiel brány.
Keď zdrojový NAT odstráni rozdiel
Pri preklade na ceste server nedokáže rozlíšiť jednotlivých klientov VPN podľa adresy. Každý vzdialený používateľ prichádza ako brána. Akákoľvek autorizácia, ktorá závisí od ich rozlíšenia, sa musí uplatňovať tam, kde sú ich identity ešte viditeľné, čo zvyčajne znamená koncentrátor VPN alebo autentizujúci proxy. Pravidlo brány môže prepustiť prevádzku; nedokáže obnoviť rozdiel, ktorý preklad odstránil.
Keď je táto adresa brány povolená, každý vzdialený používateľ sa zaznamená pod jedinou adresou, takže pravidlo poskytne celý fond každému, kto sa dostane k bráne. Ak je rozhodnutie podľa používateľa dôležité, ponechajte pôvodné adresy viditeľné alebo presuňte rozhodnutie do vrstvy, ktorá používateľa ešte pozná. Inak každý vzdialený používateľ zdedí povolenia jedinej adresy, ktorú server vidí, a auditná stopa ich už nedokáže rozlíšiť. Je to návrhové rozhodnutie, nie detail brány.
Vedome si vyberte jeden z dvoch návrhov. Obmedzte pravidlo na skutočný fond VPN, keď server musí vidieť, kto sa pripojil, a preloženú cestu prijmite iba vtedy, keď server túto informáciu naozaj nepotrebuje. Poznačte si zvolený zdrojový rozsah vedľa pravidla, pretože ďalší človek, ktorý to bude ladiť, sa najprv pozrie na tabuľku adries.