LocalSubnet у SMB правилу заштите не покрива VPN клијенте
Правило дозволе са LocalSubnet покрива сопствене подмреже сервера, а не рутирани VPN базен. Упоредите изворну адресу коју сервер види пре него што проширите обим.
Стоне рачунаре у канцеларији стижу до дељеног ресурса, VPN корисницима истиче време, а исти налог ради са мобилног хотспота. Дозволе дељења ретко су разлика; адреса која стиже на сервер датотека обично јесте. Правило ограничено на LocalSubnet пропушта сопствене повезане подмреже сервера, а одвојено рутирани VPN базен није једна од њих. Два дизајна затварају ову празнину и остављају веома различите записе.
Два дизајна, један симптом
Први дизајн додаје VPN базен у услов удаљене адресе правила. Сервер тада види тунелску адресу сваког клијента, па његови дневници могу да раздвоје једног удаљеног корисника од другог. Други дизајн усмерава VPN саобраћај кроз мрежни пролаз који га преводи у LAN адресу пре него што га сервер види. То враћа повезивост и уклања разлику у истом кораку.
Табела описује улоге, а не адресе, а ваши сопствени префикси одређују који ред важи. Одштампајте стварне вредности сервера уместо да копирате пример из блог поста:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthТабела је помоћ при одлучивању, а не тврдња о сваком распоређивању. Домаћин са додатним интерфејсима, другом везом локације или другом маском има други локални скуп.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Референца за New-NetFirewallRule компаније Microsoft документује услове удаљене адресе и кључну реч LocalSubnet. Прочитајте је пре него што одлучите да кључна реч значи све приватне адресе, јер не значи.
Упоредите шта сервер заиста прима
Читајте ефективно правило, а не оно за које неко мисли да га је направио. Проверите да је омогућено, да се примењује на активни профил и да његов услов удаљене адресе одговара извору који сервер види. Правило омогућено само на Domain профилу не чини ништа када је адаптер после промене мреже прешао на Public.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionПрва команда штампа филтере адреса повезане са правилима дељења датотека, а друга показује који су профили активни и како се третира неодговарајући долазни саобраћај. Потражите и правило блокирања и централно управљану политику. Правила блокирања имају предност над правилима дозволе, а политика која онемогућава спајање локалних правила може учинити нови локални изузетак неефикасним.
То је случај када правило у конзоли изгледа исправно и нема никаквог утицаја на саобраћај. Истовремено проверите доделу профила, јер преносни рачунар који се придружио другој мрежи може прећи на Public профил без да ико дотакне заштитни зид.
Тестирајте транспорт пре пријаве
Одвојите доступност од аутентификације. Слушалац на TCP 445 доказује да је услуга везана за порт; не доказује да удаљени пакет може да стигне до њега. Завршена TCP веза, пак, још не говори ништа о успостављању SMB сесије или дозволама дељења. Тестирајте руковање са обе стране пре него што уредите правило.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedПрва команда извештава да ли TCP руковање успева са машине на којој је покрећете, а друга додаје разрешену адресу и детаље интерфејса. Покрените је са VPN клијента и са канцеларијског рачунара, па упоредите. Ping не одговара ни на једно од два питања, јер ICMP може бити блокиран док је SMB отворен, или дозвољен док заштитни зид одбацује 445.
Ако руковање не успева само са VPN-а, изворни обим је главни осумњичени. Ако успева, а дељени ресурс вас и даље одбија, пређите на дијагностику SMB сесије и дозвола уместо уређивања правила заштитног зида.
Када изворни NAT уклони разлику
Са превођењем на путу, сервер не може да разликује појединачне VPN клијенте по адреси. Сваки удаљени корисник долази као мрежни пролаз. Свака ауторизација која зависи од њиховог разликовања мора се спроводити тамо где су њихови идентитети још видљиви, што обично значи VPN концентратор или прокси који аутентификује. Правило заштитног зида може да пропусти саобраћај; не може да врати разлику коју је превођење уклонило.
Када се та адреса пролаза дозволи, сваки удаљени корисник се бележи под једном адресом, па правило даје цео базен свакоме ко може да стигне до пролаза. Ако је одлука по кориснику важна, задржите оригиналне адресе видљивим или преместите одлуку на слој који још познаје корисника. Иначе сваки удаљени корисник наслеђује дозволе једне адресе коју сервер може да види, а ревизорски траг више не може да их разликује. То је дизајнерска одлука, не детаљ заштитног зида.
Свесно изаберите један од два дизајна. Ограничите правило на стварни VPN базен када сервер мора да види ко се повезао, а преведени пут прихватите само када серверу та информација заиста није потребна. Запишите изабрани изворни опсег поред правила, јер ће следећа особа која ово буде отклањала грешке прво погледати табелу адреса.