IIS Manager на даљину: прво проверите сопствену адресу WMSVC-а

Ваша страница одговара на 443 кроз тунел, а IIS Manager ипак не може да се повеже са сервером. Тај пар резултата није противречност, јер су веб страница и крајња тачка даљинске администрације два слушаоца са две конфигурације и два скупа правила приступа. Онај за управљање припада Web Management Service, WMSVC, и има сопствену адресу, порт, сертификат и IPv4 ограничења. Проверите ту крајњу тачку пре него што дотакнете и једну руту.

Два слушаоца, два различита проблема

Захтев према страници долази до HTTP.sys повезивања те странице, које се дефинише по страници и по протоколу у applicationHost конфигурацији. Захтев из IIS Manager долази до WMSVC-а, који подразумевано одговара HTTPS-ом на TCP 8172 и конфигурише се на нивоу сервера. Ништа у повезивању странице не мења где WMSVC слуша, и ништа у WMSVC-у не мења на коју адресу страница одговара. Деле машину и складиште сертификата, и ту сличност престаје.

Дакле успешан Test-NetConnection према порту 443 говори да је слушалац странице доступан, и ништа о управљању.

Пронађите адресу на коју је WMSVC стварно везан

Питајте сервер шта сада слуша, а не шта је било конфигурисано пре година. Get-NetTCPConnection -LocalPort 8172 -State Listen исписује локалну адресу, а вредност 0.0.0.0 или :: значи све адресе, док одређена адреса значи само ту. Ако се адресирање сервера променило, слушалац који је још увек прикован на повучену адресу управо је квар који ова провера хвата.

Конфигурисана вредност налази се на страници Management Service у IIS Manager-у на чвору сервера, а иза ње у administration.config у конфигурацијском директоријуму inetsrv. Упоредите обоје: шта каже датотека и на шта је сокет стварно везан.

Затим покрените Test-NetConnection -ComputerName iis-admin.example.com -Port 8172 -InformationLevel Detailed са погођеног VPN клијента и прочитајте разрешену адресу и изабрану изворну адресу. Другачији DNS одговор на VPN-у довољно је чест да га вреди рано искључити. Сачувајте у тикету тачно то име хоста и порт, јер касније поређење с другим именом ништа не доказује о промени коју сте направили.

Прочитајте изворну адресу коју сервер види

IPv4 ограничења WMSVC-а процењују се према адреси која долази на сервер, која није увек адреса коју ваше преносно рачунало мисли да има. Ако се VPN базен негде на путу преводи, сервер види преведену адресу, а листа дозвола изграђена од клијентове унутрашње адресе одбиће је. То одбијање са клијентске стране изгледа као неуспех везе, зато се често погрешно дијагностикује као проблем усмеравања.

Употребите детаљан излаз TCP теста, заједно са серверовом сопственом табелом веза, како бисте видели која је изворна адреса стварно стигла пре него што уредите листу ограничења.

Промените повезивање као промену услуге

WMSVC се мора зауставити пре уређивања његове конфигурације, зато то планирајте као промену са другим доступним путем управљања, попут приступа конзоли или удаљене сесије која не зависи од IIS Manager-а. Зауставите услугу, примените промену адресе, порта или сертификата, затим је покрените и потврдите да се слушалац преместио. Свако други ко користи удаљену IIS администрацију губи сесију у том периоду. Обавестите остале администраторе пре него што се период отвори; открити то усред промене начин је на који две особе заврше уређујући исти слушалац.

Избор свих адреса је легитиман избор, али третирајте га као одлуку о приступу, а не као пречицу. Проширивање слушаоца док листа ограничења остаје отворена начин је на који управљачка крајња тачка заврши изложена на мрежи коју нико није намеравао. Ако сервер има неколико NIC-ова, ограничите слушаоца на управљачко сучеље, оставите податковни пут на миру и потврдите да страница још увек одговара на сопственој адреси.

Сертификат који WMSVC представља бира се одвојено од сертификата странице. Ако промените адресу, потврдите да сертификат још увек одговара имену хоста које клијенти користе, иначе ће веза касније пасти на TLS кораку са притужбом која нема везе са усмеравањем.

Одвојите доступност од поверења и дозвола

Кад TCP успе, преостали кварови су поређани: TLS поверење за управљачки сертификат, затим Windows провера аутентичности, затим IIS Manager дозволе додељене том налогу. Сваки од њих даје другу грешку и ниједан се не решава рутом или правилом заштитног зида. Читајте текст грешке дословно уместо поновног покретања услуге.

Прођите четири провере тим редом, крајња тачка, слушалац, изворна адреса, поверење, и обично ћете наћи застарело повезивање пре него што нађете мрежни проблем.