LocalSubnet në një rregull firewall SMB nuk do të mbulojë klientët VPN
Një rregull lejimi me LocalSubnet mbulon nënrjetat e vetë serverit, jo një pishinë VPN të rrugëzuar. Krahasoni adresën burimore që sheh serveri përpara se të zgjeroni shtrirjen.
Desktopët e zyrës arrijnë në ndarjen, përdoruesit e VPN mbarojnë kohën dhe i njëjti llogari funksionon nga një hotspot telefoni. Lejet e ndarjes rrallë janë diferenca; adresa që arrin në serverin e skedarëve zakonisht është. Një rregull i kufizuar në LocalSubnet pranon nënrjetat e vetë serverit të lidhura, dhe një pishinë VPN e rrugëzuar veçmas nuk është një prej tyre. Dy modele e mbyllin këtë boshllëk dhe lënë pas regjistrime shumë të ndryshme.
Dy modele, një simptomë
Modeli i parë shton pishinën VPN në kushtin e adresës së largët të rregullit. Serveri atëherë sheh adresën e tunelit të çdo klienti, kështu që regjistrat e tij mund të dallojnë një përdorues të largët nga një tjetër. Modeli i dytë e rrugëzon trafikun VPN përmes një portë që e përkthen në një adresë LAN përpara se serveri ta shohë. Kjo rikthen lidhjen dhe heq dallimin në të njëjtin hap.
Tabela përshkruan role, jo adresa, dhe prefikset tuaja vendosin cila rresht zbatohet. Printoni vlerat reale të serverit në vend që të kopjoni një shembull nga një postim blogu:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthTabela është një ndihmë vendimi, jo një pohim për çdo implementim. Një host me ndërfaqe shtesë, një lidhje të dytë vendi ose një maskë tjetër ka një grup lokal tjetër.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Referenca New-NetFirewallRule e Microsoft dokumenton kushtet e adresës së largët dhe fjalën kyçe LocalSubnet. Lexojeni përpara se të vendosni që fjala kyçe nënkupton të gjitha adresat private, sepse nuk është kështu.
Krahasoni atë që serveri merr vërtet
Lexoni rregullin efektiv në vend të atij që dikush kujton se e ka krijuar. Kontrolloni që është aktivizuar, zbatohet për profilin aktiv dhe kushti i adresës së largët përputhet me burimin që sheh serveri. Një rregull i aktivizuar vetëm në profilin Domain nuk bën asgjë kur përshtatësi ka kaluar në Public pas një ndryshimi rrjeti.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionKomanda e parë printon filtrat e adresave të lidhura me rregullat e ndarjes së skedarëve, dhe e dyta tregon cilat profile janë aktive dhe si trajtohet trafiku hyrës që nuk përputhet. Kërkoni gjithashtu një rregull bllokimi dhe një politikë të administruar në mënyrë qendrore. Rregullat e bllokimit kanë përparësi mbi rregullat e lejimit, dhe një politikë që çaktivizon bashkimin e rregullave lokale mund ta bëjë joefektiv një përjashtim të ri lokal.
Ky është rasti kur rregulli duket i saktë në konsolë dhe nuk ka asnjë efekt në trafik. Kontrolloni njëkohësisht caktimin e profilit, sepse një laptop që është bashkuar me një rrjet tjetër mund të kalojë në profilin Public pa prekur askush firewall-in.
Testoni transportin përpara identifikimit
Ndaqni arritshmërinë nga autentikimi. Një dëgjues në TCP 445 provon që një shërbim është i lidhur me portën; nuk provon që një paketë e largët mund ta arrijë atë. Një lidhje TCP e përfunduar, nga ana tjetër, nuk thotë ende asgjë për vendosjen e sesionit SMB ose lejet e ndarjes. Testoni shtrëngimin e duarve nga të dyja anët përpara se të redaktoni një rregull.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedKomanda e parë raporton nëse një shtrëngim duarsh TCP ka sukses nga makina ku e ekzekutoni, dhe e dyta shton adresën e zgjidhur dhe detajet e ndërfaqes. Ekzekutojeni nga klienti VPN dhe nga një desktop zyre, pastaj krahasoni. Ping nuk i përgjigjet asnjërës prej pyetjeve, sepse ICMP mund të jetë i bllokuar ndërsa SMB është i hapur, ose i lejuar ndërsa firewall-i hedh 445.
Nëse shtrëngimi i duarve dështon vetëm nga VPN, shtrirja e burimit është i dyshuari kryesor. Nëse ka sukses dhe ndarja ju refuzon ende, kaloni në diagnostikimin e sesionit dhe lejeve SMB në vend që të redaktoni rregulla firewall.
Kur NAT i burimit heq dallimin
Me përkthim në rrugë, serveri nuk mund t'i dallojë klientët individualë VPN sipas adresës. Çdo përdorues i largët vjen si porta. Çdo autorizim që varet nga dallimi i tyre duhet të zbatohet atje ku identitetet e tyre janë ende të dukshme, që zakonisht do të thotë koncentratori VPN ose një proxy autentikues. Rregulli i firewall-it mund të pranojë trafik; nuk mund të rikthejë një dallim që përkthimi e hoqi.
Pasi ajo adresë e portës lejohet, çdo përdorues i largët regjistrohet nën një adresë të vetme, kështu që rregulli i jep të gjithë pishinën kujtdo që mund të arrijë portën. Nëse një vendim për çdo përdorues ka rëndësi, mbajini adresat origjinale të dukshme ose zhvendoseni vendimin në një shtresë që ende e njeh përdoruesin. Përndryshe, çdo përdorues i largët trashëgon lejet e adresës së vetme që serveri mund të shohë, dhe gjurma e auditimit nuk mund t'i dallojë më pas. Ky është një vendim projektimi, jo një detaj i firewall-it.
Zgjidhni me qëllim midis dy modeleve. Kufizoni rregullin në pishinën reale VPN kur serveri duhet të shohë kush u lidh, dhe pranoni rrugën e përkthyer vetëm kur serveri vërtet nuk e ka nevojë për atë informacion. Shënoni intervalin e burimit të zgjedhur pranë rregullit, sepse personi tjetër që do të korrigjojë këtë do të shikojë fillimisht tabelën e adresave.