IIS Manager në distancë: kontrolloni së pari adresën e vetë WMSVC

Faqja juaj përgjigjet në 443 përmes tunelit, dhe IIS Manager ende nuk arrin të lidhet me serverin. Ky çift rezultatesh nuk është kundërshti, sepse faqja e internetit dhe pika fundore e administrimit në distancë janë dy dëgjues me dy konfigurime dhe dy grupe rregullash aksesi. Ai i administrimit i përket Web Management Service, WMSVC, dhe ka adresën, portën, certifikatën dhe kufizimet IPv4 të veta. Kontrolloni atë pikë fundore përpara se të prekni edhe një rrugë të vetme.

Dy dëgjues, dy probleme të ndryshme

Një kërkesë drejt faqes arrin lidhjen HTTP.sys të asaj faqeje, e cila përcaktohet për çdo faqe dhe protokoll në konfigurimin applicationHost. Një kërkesë nga IIS Manager arrin WMSVC, i cili si parazgjedhje përgjigjet me HTTPS në TCP 8172 dhe konfigurohet në nivel serveri. Asgjë në lidhjen e faqes nuk ndryshon vendin ku dëgjon WMSVC, dhe asgjë në WMSVC nuk ndryshon adresën në të cilën përgjigjet faqja. Ata ndajnë një makinë dhe një depo certifikatash, dhe aty mbaron ngjashmëria.

Pra një Test-NetConnection i suksesshëm në portën 443 thotë se dëgjuesi i faqes është i arritshëm, dhe asgjë për administrimin.

Gjeni adresën ku WMSVC është lidhur në të vërtetë

Pyetni serverin se çfarë po dëgjon tani, jo çfarë u konfigurua vite më parë. Get-NetTCPConnection -LocalPort 8172 -State Listen shtyp adresën lokale, dhe një vlerë 0.0.0.0 ose :: nënkupton të gjitha adresat, ndërsa një adresë specifike nënkupton vetëm atë. Nëse adresimi i serverit është ndryshuar, një dëgjues ende i gozhduar në një adresë të tërhequr është pikërisht defekti që kap ky kontroll.

Vlera e konfiguruar ndodhet në faqen Management Service të IIS Manager në nyjen e serverit, dhe pas saj në administration.config në drejtorinë e konfigurimit inetsrv. Krahasoni të dyja: çfarë thotë skedari dhe ku është lidhur në të vërtetë socket-i.

Pastaj ekzekutoni Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed nga klienti VPN i prekur dhe lexoni adresën e zgjidhur dhe adresën burimore të zgjedhur. Një përgjigje tjetër DNS përmes VPN është mjaft e zakonshme për t'u përjashtuar herët. Ruani në tiketë pikërisht atë emër hosti dhe portë, sepse një krahasim i mëvonshëm me një emër tjetër nuk provon asgjë për ndryshimin që bëtë.

Lexoni adresën burimore që sheh serveri

Kufizimet IPv4 të WMSVC vlerësohen kundrejt adresës që mbërrin në server, e cila nuk është gjithmonë adresa që laptopi juaj mendon se ka. Nëse grupi VPN përkthehet diku përgjatë rrugës, serveri sheh adresën e përkthyer dhe një listë lejimesh e ndërtuar nga adresa e brendshme e klientit do ta refuzojë atë. Ky refuzim nga ana e klientit duket si dështim lidhjeje, prandaj shpesh diagnostikohet gabimisht si problem rrugëtimi.

Përdorni daljen e detajuar të testit TCP, së bashku me tabelën e lidhjeve të vetë serverit, për të parë cila adresë burimore mbërriti në të vërtetë përpara se të modifikoni listën e kufizimeve.

Ndryshoni lidhjen si një ndryshim shërbimi

WMSVC duhet të ndalet përpara se të modifikohet konfigurimi i tij, prandaj planifikojeni si një ndryshim me një rrugë tjetër administrimi të disponueshme, si akses në konsolë ose një sesion në distancë që nuk varet nga IIS Manager. Ndaloni shërbimin, aplikoni ndryshimin e adresës, portës ose certifikatës, pastaj nisni atë dhe konfirmoni se dëgjuesi u zhvendos. Kushdo tjetër që përdor administrimin IIS në distancë humbet sesionin e vet në atë dritare. Njoftoni administratorët e tjerë përpara se të hapet dritarja; ta zbulosh në mes të ndryshimit është mënyra se si dy njerëz përfundojnë duke modifikuar të njëjtin dëgjues.

Zgjedhja e të gjitha adresave është opsion legjitim, por trajtojeni si vendim aksesi dhe jo si shkurtore. Zgjerimi i dëgjuesit ndërsa lista e kufizimeve mbetet e hapur është mënyra se si një pikë fundore administrimi përfundon e ekspozuar në një rrjet që askush nuk e synonte. Nëse serveri ka disa NIC, kufizoni dëgjuesin në ndërfaqen e administrimit, lini rrugën e të dhënave të qetë dhe konfirmoni se faqja ende përgjigjet në adresën e vet.

Certifikata që paraqet WMSVC zgjidhet veçmas nga certifikatat e faqes. Nëse ndryshoni adresën, konfirmoni se certifikata ende përputhet me emrin e hostit që përdorin klientët, përndryshe lidhja do të dështojë më vonë në hapin TLS me një ankesë që nuk ka lidhje me rrugëtimin.

Ndani arritshmërinë nga besimi dhe lejet

Pasi TCP kalon, dështimet e mbetura janë të renditura: besimi TLS për certifikatën e administrimit, pastaj vërtetimi Windows, pastaj lejet e IIS Manager që i jepen atij llogarie. Secila prodhon një gabim tjetër, dhe asnjëra nuk rregullohet nga një rrugë ose rregull muri zjarri. Lexoni tekstin e gabimit fjalë për fjalë në vend që të rinisni shërbimin.

Kaloni katër kontrollet në atë rend, pika fundore, dëgjuesi, adresa burimore, besimi, dhe zakonisht do të gjeni lidhjen e vjetruar përpara se të gjeni një problem rrjeti.