LocalSubnet katika kanuni ya firewall ya SMB haitawajumuisha wateja wa VPN
Kanuni ya ruhusa ya LocalSubnet inajumuisha subnet za seva yenyewe, si bwawa la VPN lililoelekezwa. Linganisha anwani ya chanzo ambayo seva inaiona kabla ya kupanua wigo.
Kompyuta za mezani za ofisi zinafika kwenye ushirikiano, watumiaji wa VPN wanapata muda kuisha, na akaunti hiyo hiyo inafanya kazi kutoka hotspot ya simu. Ruhusa za ushirikiano ni nadra kuwa tofauti; anwani inayofika kwenye seva ya faili ndiyo huwa tofauti. Kanuni iliyozuiwa kwa LocalSubnet inaruhusu subnet za seva yenyewe zilizounganishwa, na bwawa la VPN lililoelekezwa kando si moja yao. Miundo miwili inafunga pengo hilo, na inaacha kumbukumbu tofauti sana.
Miundo miwili, dalili moja
Muundo wa kwanza unaongeza bwawa la VPN kwenye sharti la anwani ya mbali ya kanuni. Seva basi inaona anwani ya handaki ya kila mteja, hivyo kumbukumbu zake zinaweza kutenganisha mtumiaji mmoja wa mbali na mwingine. Muundo wa pili unaelekeza trafiki ya VPN kupitia lango linaloitafsiri kuwa anwani ya LAN kabla seva kuiona. Hiyo inarejesha muunganisho na kuondoa tofauti katika hatua hiyo hiyo.
Jedwali linaelezea majukumu badala ya anwani, na viambishi vyako mwenyewe huamua mstari unaotumika. Chapisha thamani halisi za seva badala ya kunakili mfano kutoka chapisho la blogi:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthJedwali ni msaada wa uamuzi, si dai kuhusu kila usambazaji. Mwenyeji aliye na violesura vya ziada, kiungo cha pili cha tovuti au barakoa nyingine ana seti ya ndani tofauti.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Marejeleo ya New-NetFirewallRule ya Microsoft yanaeleza masharti ya anwani ya mbali na neno kuu LocalSubnet. Isome kabla ya kuamua kuwa neno kuu linamaanisha anwani zote za kibinafsi, kwa sababu sivyo.
Linganisha kile seva inapokea kwa kweli
Soma kanuni inayotumika badala ya ile ambayo mtu anakumbuka kuwa aliiunda. Hakikisha imewezeshwa, inatumika kwa wasifu unaotumika, na sharti lake la anwani ya mbali linalingana na chanzo ambacho seva inaona. Kanuni iliyowezeshwa tu kwenye wasifu wa Domain haifanyi chochote wakati adapta imehamia Public baada ya mabadiliko ya mtandao.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionAmri ya kwanza inachapisha vichujio vya anwani vilivyounganishwa na kanuni za kushiriki faili, na ya pili inaonyesha wasifu gani unaotumika na jinsi trafiki inayoingia isiyolingana inavyoshughulikiwa. Tafuta pia kanuni ya kuzuia na sera inayosimamiwa kwa serikali kuu. Kanuni za kuzuia zina kipaumbele juu ya kanuni za ruhusa, na sera inayozima ujumuishaji wa kanuni za ndani inaweza kufanya msamaha mpya wa ndani usifanye kazi.
Hii ni kesi ambapo kanuni inaonekana sahihi kwenye konsoli na haina athari yoyote kwenye trafiki. Angalia ugawaji wa wasifu wakati huo huo, kwa sababu kompyuta ndogo iliyojiunga na mtandao mwingine inaweza kuhamia wasifu wa Public bila mtu yeyote kugusa firewall.
Jaribu usafirishaji kabla ya kuingia
Tenganisha ufikiaji na uthibitishaji. Msikilizaji kwenye TCP 445 anathibitisha kuwa huduma imefungwa kwenye bandari; haithibitishi kuwa pakiti ya mbali inaweza kuifikia. Muunganisho wa TCP uliokamilika, kwa upande wake, bado hausemi chochote kuhusu kuweka kikao cha SMB au ruhusa za ushirikiano. Jaribu kupeana mikono kutoka pande zote mbili kabla ya kuhariri kanuni.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedAmri ya kwanza inaripoti kama kupeana mikono kwa TCP kunafanikiwa kutoka kwenye mashine unayoendesha, na ya pili inaongeza anwani iliyotatuliwa na maelezo ya violesura. Iendeshe kutoka kwa mteja wa VPN na kutoka kompyuta ya mezani ya ofisi, kisha linganisha. Ping haijibu swali lolote kati ya haya, kwa sababu ICMP inaweza kuzuiwa wakati SMB iko wazi, au kuruhusiwa wakati firewall inadondosha 445.
Ikiwa kupeana mikono kunashindikana tu kutoka VPN, wigo wa chanzo ndiye mtuhumiwa mkuu. Ikiwa kunafanikiwa na ushirikiano bado unakukataa, nenda kwenye utambuzi wa kikao cha SMB na ruhusa badala ya kuhariri kanuni za firewall.
Wakati NAT ya chanzo inaondoa tofauti
Kukiwa na tafsiri kwenye njia, seva haiwezi kutofautisha wateja binafsi wa VPN kwa anwani. Kila mtumiaji wa mbali huja kama lango. Uidhinishaji wowote unaotegemea kuwatofautisha lazima utekelezwe mahali ambapo utambulisho wao bado unaonekana, ambayo kwa kawaida inamaanisha kituo cha VPN au proksi inayothibitisha. Kanuni ya firewall inaweza kuruhusu trafiki; haiwezi kurejesha tofauti ambayo tafsiri iliondoa.
Mara anwani hiyo ya lango inaporuhusiwa, kila mtumiaji wa mbali anarekodiwa chini ya anwani moja, hivyo kanuni inatoa bwawa zima kwa yeyote anayeweza kufikia lango. Ikiwa uamuzi kwa kila mtumiaji ni muhimu, weka anwani za awali zionekane au hamisha uamuzi kwenye tabaka ambalo bado linamjua mtumiaji. Vinginevyo kila mtumiaji wa mbali anarithi ruhusa za anwani moja ambayo seva inaweza kuiona, na ufuatiliaji wa ukaguzi hauwezi kuwatofautisha baadaye. Hilo ni uamuzi wa muundo, si maelezo ya firewall.
Chagua kwa makusudi kati ya miundo miwili. Zuiya kanuni kwa bwawa halisi la VPN wakati seva inapaswa kuona nani aliunganishwa, na kabali njia iliyotafsiriwa tu wakati seva kwa kweli haihitaji taarifa hiyo. Andika anuwai ya chanzo iliyochaguliwa kando ya kanuni, kwa sababu mtu anayefuata kutatua hili ataangalia kwanza jedwali la anwani.