Hindi sasaklawin ng LocalSubnet sa isang tuntunin ng firewall ng SMB ang mga kliyente ng VPN
Ang tuntunin ng pagpayag na may LocalSubnet ay sumasaklaw sa sariling mga subnet ng server, hindi sa isang niruruta na pool ng VPN. Ihambing ang source address na nakikita ng server bago palawakin ang saklaw.
Nakarating ang mga desktop sa opisina sa share, nag-time out ang mga gumagamit ng VPN, at gumagana ang parehong account mula sa hotspot ng telepono. Bihirang ang mga pahintulot sa share ang pagkakaiba; ang address na dumarating sa file server ang karaniwang pagkakaiba. Ang tuntuning limitado sa LocalSubnet ay tumatanggap ng sariling konektadong mga subnet ng server, at ang hiwalay na niruruta na pool ng VPN ay hindi isa sa kanila. Dalawang disenyo ang nagsasara ng puwang, at nag-iiwan sila ng lubos na magkaibang mga tala.
Dalawang disenyo, isang sintomas
Idinadagdag ng unang disenyo ang pool ng VPN sa kondisyon ng malayuang address ng tuntunin. Nakikita ng server ang address ng tunnel ng bawat kliyente, kaya nagagawang ihiwalay ng mga log nito ang isang malayuang gumagamit sa iba. Ang ikalawang disenyo ay nagruruta ng trapik ng VPN sa isang gateway na nagsasalin nito sa isang address ng LAN bago ito makita ng server. Ibinabalik nito ang pagkakakonekta at inaalis ang pagkakaiba sa parehong hakbang.
Inilalarawan ng talahanayan ang mga tungkulin at hindi ang mga address, at ang sarili mong mga prefix ang nagtatakda kung aling hilera ang naaangkop. I-print ang tunay na mga halaga ng server sa halip na kopyahin ang isang halimbawa mula sa post sa blog:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthAng talahanayan ay isang tulong sa pagpapasya, hindi isang pahayag tungkol sa bawat deployment. Ang host na may karagdagang mga interface, pangalawang link ng site o ibang mask ay may ibang lokal na set.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Ang sanggunian ng New-NetFirewallRule ng Microsoft ay nagdodokumento ng mga kondisyon ng malayuang address at ng keyword na LocalSubnet. Basahin ito bago magpasya na ang keyword ay nangangahulugan ng lahat ng pribadong address, dahil hindi ito ganoon.
Ihambing ang aktuwal na natatanggap ng server
Basahin ang epektibong tuntunin sa halip na ang natatandaan ng isang tao na ginawa niya. Suriin na ito ay naka-enable, na nalalapat sa aktibong profile, at na ang kondisyon ng malayuang address nito ay tumutugma sa source na nakikita ng server. Ang tuntuning naka-enable lamang sa profile na Domain ay walang ginagawa kapag lumipat ang adapter sa Public pagkatapos ng pagbabago ng network.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionAng unang utos ay nagpi-print ng mga filter ng address na nakakabit sa mga tuntunin ng file sharing, at ang pangalawa ay nagpapakita kung aling mga profile ang aktibo at kung paano tinatrato ang papasok na trapik na hindi tumutugma. Maghanap din ng tuntunin ng pagharang at ng patakarang pinamamahalaan sa gitna. Ang mga tuntunin ng pagharang ay nauuna sa mga tuntunin ng pagpayag, at ang patakarang nagpapawalang-bisa sa pagsasama ng mga lokal na tuntunin ay maaaring gawing walang bisa ang isang bagong lokal na pagbubukod.
Ito ang kaso kung saan ang tuntunin ay mukhang tama sa console at walang epekto sa trapik. Suriin din ang pagtatalaga ng profile, dahil ang laptop na sumali sa ibang network ay maaaring lumipat sa profile na Public nang walang sinumang humahawak sa firewall.
Subukan ang transport bago ang pag-login
Ihiwalay ang pag-abot mula sa pagpapatunay. Ang isang listener sa TCP 445 ay nagpapatunay na ang isang serbisyo ay nakatali sa port; hindi nito pinatutunayan na ang isang malayuang packet ay makakaabot dito. Ang nakumpletong koneksyon ng TCP, sa kabilang banda, ay wala pang sinasabi tungkol sa pag-set up ng sesyon ng SMB o sa mga pahintulot sa share. Subukan ang handshake mula sa magkabilang panig bago mag-edit ng tuntunin.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedAng unang utos ay nag-uulat kung nagtagumpay ang handshake ng TCP mula sa makina kung saan mo ito pinapatakbo, at ang pangalawa ay nagdadagdag ng naresolbang address at mga detalye ng interface. Patakbuhin ito mula sa kliyente ng VPN at mula sa desktop sa opisina, pagkatapos ay ihambing. Hindi sinasagot ng ping ang alinman sa mga tanong, dahil maaaring harangin ang ICMP habang bukas ang SMB, o payagan habang itinatapon ng firewall ang 445.
Kung nabigo ang handshake mula sa VPN lamang, ang saklaw ng source ang pangunahing pinaghihinalaan. Kung nagtagumpay ito at tinatanggihan ka pa rin ng share, lumipat sa diagnosis ng sesyon at mga pahintulot ng SMB sa halip na mag-edit ng mga tuntunin ng firewall.
Kapag inalis ng source NAT ang pagkakaiba
Sa pagsasalin sa landas, hindi kayang ihiwalay ng server ang mga indibidwal na kliyente ng VPN sa pamamagitan ng address. Dumarating ang bawat malayuang gumagamit bilang ang gateway. Anumang awtorisasyon na nakadepende sa paghihiwalay sa kanila ay dapat ipatupad kung saan nakikita pa rin ang kanilang pagkakakilanlan, na karaniwang nangangahulugan ng concentrator ng VPN o isang proxy na nagpapatunay. Maaaring payagan ng tuntunin ng firewall ang trapik; hindi nito maibabalik ang pagkakaibang inalis ng pagsasalin.
Kapag pinayagan ang address ng gateway, ang bawat malayuang gumagamit ay naitala sa ilalim ng isang address, kaya ibinibigay ng tuntunin ang buong pool sa sinumang makaabot sa gateway. Kung mahalaga ang desisyon sa bawat gumagamit, panatilihing nakikita ang orihinal na mga address o ilipat ang desisyon sa isang layer na nakikilala pa rin ang gumagamit. Kung hindi, minamana ng bawat malayuang gumagamit ang mga pahintulot ng nag-iisang address na nakikita ng server, at hindi na sila maihihiwalay ng trail ng audit pagkatapos. Iyon ay desisyon sa disenyo, hindi detalye ng firewall.
Sadyang pumili sa pagitan ng dalawang disenyo. Limitahan ang tuntunin sa tunay na pool ng VPN kapag kailangang makita ng server kung sino ang kumonekta, at tanggapin ang isinaling landas lamang kapag talagang hindi kailangan ng server ang impormasyong iyon. Itala ang napiling saklaw ng source sa tabi ng tuntunin, dahil ang susunod na taong magde-debug nito ay titingin muna sa talahanayan ng address.