SMB فائر وال اصول میں LocalSubnet VPN کلائنٹس کو نہیں ڈھانپے گا
LocalSubnet اجازت اصول سرور کے اپنے سب نیٹس کو ڈھانپتا ہے، روٹ شدہ VPN پول کو نہیں۔ دائرہ وسیع کرنے سے پہلے وہ ماخذ پتہ موازنہ کریں جو سرور دیکھتا ہے۔
دفتر کے ڈیسک ٹاپ شیئر تک پہنچتے ہیں، VPN صارفین کا وقت ختم ہو جاتا ہے، اور وہی اکاؤنٹ موبائل ہاٹ اسپاٹ سے کام کرتا ہے۔ شیئر کی اجازتیں شاذ و نادر ہی فرق ہوتی ہیں؛ فائل سرور تک پہنچنے والا پتہ عام طور پر فرق ہوتا ہے۔ LocalSubnet تک محدود اصول سرور کے اپنے منسلک سب نیٹس کو داخل ہونے دیتا ہے، اور الگ سے روٹ شدہ VPN پول ان میں سے ایک نہیں۔ دو ڈیزائن یہ خلا پُر کرتے ہیں، اور وہ بہت مختلف ریکارڈ پیچھے چھوڑتے ہیں۔
دو ڈیزائن، ایک علامت
پہلا ڈیزائن VPN پول کو اصول کی دور دراز پتے کی شرط میں شامل کرتا ہے۔ پھر سرور ہر کلائنٹ کا ٹنل پتہ دیکھتا ہے، اس لیے اس کے لاگ ایک دور دراز صارف کو دوسرے سے الگ کر سکتے ہیں۔ دوسرا ڈیزائن VPN ٹریفک کو ایسے گیٹ وے سے روٹ کرتا ہے جو سرور کے دیکھنے سے پہلے اسے LAN پتے میں تبدیل کر دیتا ہے۔ یہ رابطہ بحال کرتا ہے اور اسی مرحلے میں فرق ختم کر دیتا ہے۔
جدول پتوں کے بجائے کردار بیان کرتا ہے، اور کون سی سطر لاگو ہوتی ہے یہ آپ کے اپنے سابقے طے کرتے ہیں۔ بلاگ پوسٹ سے مثال کاپی کرنے کے بجائے سرور کی حقیقی اقدار چھاپیں:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthجدول فیصلے کا معاون ہے، ہر تعیناتی کے بارے میں دعویٰ نہیں۔ اضافی انٹرفیس، دوسرے سائٹ لنک یا مختلف ماسک والے ہوسٹ کا مقامی مجموعہ مختلف ہوتا ہے۔
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft کا New-NetFirewallRule حوالہ دور دراز پتے کی شرائط اور LocalSubnet کلیدی لفظ کی دستاویز کرتا ہے۔ یہ طے کرنے سے پہلے کہ کلیدی لفظ تمام نجی پتوں کے معنی دیتا ہے، اسے پڑھیں، کیونکہ ایسا نہیں ہے۔
موازنہ کریں کہ سرور واقعی کیا وصول کرتا ہے
کسی کے یاد رکھے اصول کے بجائے موثر اصول پڑھیں۔ جانچیں کہ یہ فعال ہے، فعال پروفائل پر لاگو ہوتا ہے، اور اس کی دور دراز پتے کی شرط اس ماخذ سے میل کھاتی ہے جو سرور دیکھتا ہے۔ صرف Domain پروفائل پر فعال اصول نیٹ ورک تبدیلی کے بعد اڈاپٹر کے Public پر جانے پر کچھ نہیں کرتا۔
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionپہلا حکم فائل شیئرنگ اصولوں سے منسلک پتہ فلٹر چھاپتا ہے، اور دوسرا دکھاتا ہے کہ کون سے پروفائل فعال ہیں اور غیر متوافق آنے والی ٹریفک کے ساتھ کیسا سلوک ہوتا ہے۔ بلاکنگ اصول اور مرکزی طور پر منظم پالیسی بھی تلاش کریں۔ بلاک اصول اجازت کے اصولوں پر فوقیت رکھتے ہیں، اور مقامی اصول ضم کرنے کو بند کرنے والی پالیسی نئی مقامی استثنا کو بے اثر کر سکتی ہے۔
یہ وہ صورت ہے جب اصول کنسول میں درست دکھتا ہے اور ٹریفک پر کوئی اثر نہیں ڈالتا۔ اسی وقت پروفائل کی تفویض جانچیں، کیونکہ دوسرے نیٹ ورک میں شامل لیپ ٹاپ کسی کے فائر وال کو چھوئے بغیر Public پروفائل پر جا سکتا ہے۔
لاگ ان سے پہلے ٹرانسپورٹ جانچیں
رسائی کو توثیق سے الگ کریں۔ TCP 445 پر سننے والا ثابت کرتا ہے کہ خدمت پورٹ سے بندھی ہے؛ یہ ثابت نہیں کرتا کہ دور دراز پیکٹ اس تک پہنچ سکتا ہے۔ مکمل شدہ TCP کنکشن، بہرحال، SMB سیشن کے قیام یا شیئر کی اجازتوں کے بارے میں ابھی کچھ نہیں کہتا۔ اصول میں ترمیم سے پہلے دونوں طرف سے مصافحہ جانچیں۔
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel Detailedپہلا حکم بتاتا ہے کہ جس مشین سے آپ اسے چلاتے ہیں وہاں سے TCP مصافحہ کامیاب ہوتا ہے یا نہیں، اور دوسرا حل شدہ پتہ اور انٹرفیس تفصیلات شامل کرتا ہے۔ اسے VPN کلائنٹ اور دفتر کے ڈیسک ٹاپ سے چلائیں، پھر موازنہ کریں۔ Ping دونوں سوالوں کا جواب نہیں دیتا، کیونکہ SMB کھلا ہونے کے دوران ICMP مسدود ہو سکتا ہے، یا فائر وال کے 445 گرانے کے دوران اجازت یافتہ ہو سکتا ہے۔
اگر مصافحہ صرف VPN سے ناکام ہو، تو ماخذ کا دائرہ بنیادی مشتبہ ہے۔ اگر یہ کامیاب ہو اور شیئر پھر بھی انکار کرے، تو فائر وال اصول ترمیم کرنے کے بجائے SMB سیشن اور اجازت کی تشخیص کی طرف جائیں۔
جب ماخذ NAT فرق ختم کرتا ہے
راستے میں ترجمہ ہونے پر سرور انفرادی VPN کلائنٹس کو پتے سے الگ نہیں کر سکتا۔ ہر دور دراز صارف گیٹ وے کی صورت میں آتا ہے۔ انھیں الگ کرنے پر منحصر کوئی بھی اجازت وہاں نافذ ہونی چاہیے جہاں ان کی شناختیں ابھی نظر آتی ہیں، جس کا عام مطلب VPN کنسنٹریٹر یا توثیق کرنے والا پراکسی ہے۔ فائر وال اصول ٹریفک داخل کر سکتا ہے؛ یہ وہ فرق بحال نہیں کر سکتا جو ترجمے نے ختم کیا۔
ایک بار وہ گیٹ وے پتہ اجازت یافتہ ہو جائے تو ہر دور دراز صارف ایک ہی پتے کے تحت درج ہوتا ہے، اس لیے اصول پورا پول ہر اس شخص کو دیتا ہے جو گیٹ وے تک پہنچ سکتا ہے۔ اگر فی صارف فیصلہ اہم ہو، تو اصل پتے نظر آتے رکھیں یا فیصلہ ایسی پرت پر منتقل کریں جو ابھی صارف کو جانتی ہے۔ ورنہ ہر دور دراز صارف اس واحد پتے کی اجازتیں ورثے میں پاتا ہے جو سرور دیکھ سکتا ہے، اور آڈٹ ٹریل بعد میں انھیں الگ نہیں کر سکتا۔ یہ ڈیزائن کا فیصلہ ہے، فائر وال کی تفصیل نہیں۔
دو ڈیزائنوں میں سے جان بوجھ کر انتخاب کریں۔ جب سرور کو دیکھنا ہو کہ کون جڑا، تو اصول کو حقیقی VPN پول تک محدود کریں، اور ترجمہ شدہ راستہ صرف اس وقت قبول کریں جب سرور کو واقعی وہ معلومات درکار نہ ہوں۔ منتخب ماخذ کی حد اصول کے ساتھ لکھیں، کیونکہ اسے ڈیبگ کرنے والا اگلا شخص پہلے پتہ جدول دیکھے گا۔