SMB xavfsizlik devori qoidasidagi LocalSubnet VPN mijozlarini qamrab olmaydi
LocalSubnet ruxsat qoidasi serverning o'z subnetlarini qamrab oladi, yo'naltirilgan VPN havzasini emas. Qamrovni kengaytirishdan oldin server ko'radigan manba manzilini taqqoslang.
Ofis ish stollari umumiy papkaga yetib boradi, VPN foydalanuvchilarining vaqti tugaydi va o'sha hisob telefon hotspotidan ishlaydi. Umumiy papka ruxsatlari kamdan-kam farq bo'ladi; fayl serveriga yetib keladigan manzil odatda farq bo'ladi. LocalSubnet bilan cheklangan qoida serverning o'ziga ulangan subnetlarini qabul qiladi, alohida yo'naltirilgan VPN havzasi esa ulardan biri emas. Ikkita loyiha bu bo'shliqni yopadi va orqasida juda boshqacha yozuvlar qoldiradi.
Ikkita loyiha, bitta alomat
Birinchi loyiha VPN havzasini qoidaning uzoq manzil shartiga qo'shadi. So'ngra server har bir mijozning tunnel manzilini ko'radi, shuning uchun jurnallari bir uzoq foydalanuvchini boshqasidan ajrata oladi. Ikkinchi loyiha VPN trafigini server ko'rishidan oldin LAN manziliga tarjima qiladigan shlyuz orqali yo'naltiradi. Bu ulanishni tiklaydi va o'sha qadamda farqni yo'q qiladi.
Jadval manzillarni emas, rollarni tavsiflaydi va qaysi qator amal qilishini o'z prefikslaringiz hal qiladi. Blog postidagi misolni ko'chirish o'rniga serverning haqiqiy qiymatlarini chop eting:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthJadval qaror uchun yordamchi, har bir joylashtirish haqida da'vo emas. Qo'shimcha interfeyslari, ikkinchi sayt havolasi yoki boshqa maskasi bo'lgan xostning mahalliy to'plami boshqacha.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Microsoft'ning New-NetFirewallRule ma'lumotnomasi uzoq manzil shartlari va LocalSubnet kalit so'zini hujjatlashtiradi. Kalit so'z barcha xususiy manzillarni anglatadi deb qaror qilishdan oldin uni o'qing, chunki unday emas.
Server aslida nimani qabul qilishini taqqoslang
Birov eslab qolgan qoidani emas, amaldagi qoidani o'qing. Uning yoqilganini, faol profilga qo'llanishini va uzoq manzil sharti server ko'radigan manbaga mos kelishini tekshiring. Faqat Domain profilida yoqilgan qoida tarmoq o'zgarishidan keyin adapter Public'ga o'tganda hech narsa qilmaydi.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionBirinchi buyruq fayl almashish qoidalariga bog'langan manzil filtrlarini chop etadi, ikkinchisi esa qaysi profillar faol ekanini va mos kelmaydigan kiruvchi trafik qanday ko'rib chiqilishini ko'rsatadi. Bloklash qoidasi va markazlashtirilgan boshqariladigan siyosatni ham qidiring. Bloklash qoidalari ruxsat qoidalaridan ustun, mahalliy qoidalarni birlashtirishni o'chiruvchi siyosat esa yangi mahalliy istisnoni samarasiz qilishi mumkin.
Bu qoida konsolda to'g'ri ko'rinadigan va trafikka hech qanday ta'sir qilmaydigan holat. Ayni vaqtda profil tayinlanishini tekshiring, chunki boshqa tarmoqqa qo'shilgan noutbuk hech kim xavfsizlik devoriga tegmasdan Public profiliga o'tishi mumkin.
Kirishdan oldin transportni sinab ko'ring
Yetib borishni autentifikatsiyadan ajrating. TCP 445 dagi tinglovchi xizmat portga bog'langanini isbotlaydi; uzoq paket unga yetib borishini isbotlamaydi. Tugallangan TCP ulanish esa SMB seansini o'rnatish yoki umumiy papka ruxsatlari haqida hali hech narsa demaydi. Qoidani tahrirlashdan oldin qo'l berib ko'rishishni ikki tomondan sinab ko'ring.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedBirinchi buyruq TCP qo'l berib ko'rishish siz ishlatayotgan mashinadan muvaffaqiyatli bo'lishini xabar qiladi, ikkinchisi hal qilingan manzil va interfeys tafsilotlarini qo'shadi. Uni VPN mijozi va ofis ish stolidan ishga tushiring, keyin taqqoslang. Ping ikkala savolga ham javob bermaydi, chunki SMB ochiq bo'lganda ICMP bloklangan bo'lishi mumkin yoki xavfsizlik devori 445 ni tashlaganda ruxsat berilgan bo'lishi mumkin.
Agar qo'l berib ko'rishish faqat VPN dan muvaffaqiyatsiz bo'lsa, manba qamrovi asosiy gumondor. Agar u muvaffaqiyatli bo'lsa va umumiy papka baribir rad etsa, xavfsizlik devori qoidalarini tahrirlash o'rniga SMB seansi va ruxsatlar diagnostikasiga o'ting.
Manba NAT farqni yo'q qilganda
Yo'lda tarjima bo'lsa, server alohida VPN mijozlarini manzil bo'yicha ajrata olmaydi. Har bir uzoq foydalanuvchi shlyuz sifatida keladi. Ularni ajratishga bog'liq har qanday avtorizatsiya ularning shaxsiyatlari hali ko'rinadigan joyda amalga oshirilishi kerak, bu odatda VPN kontsentratori yoki autentifikatsiya qiluvchi proksi demakdir. Xavfsizlik devori qoidasi trafikni o'tkazishi mumkin; tarjima olib tashlagan farqni u tiklay olmaydi.
O'sha shlyuz manziliga ruxsat berilgach, har bir uzoq foydalanuvchi bitta manzil ostida qayd etiladi, shuning uchun qoida butun havzani shlyuzga yetib boradigan har kimga beradi. Agar har bir foydalanuvchi bo'yicha qaror muhim bo'lsa, asl manzillarni ko'rinadigan holda saqlang yoki qarorni foydalanuvchini hali taniydigan qatlamga ko'chiring. Aks holda har bir uzoq foydalanuvchi server ko'ra oladigan yagona manzilning ruxsatlarini meros qilib oladi va audit izi ularni keyinchalik ajrata olmaydi. Bu loyiha qarori, xavfsizlik devori tafsiloti emas.
Ikkita loyiha o'rtasida ongli ravishda tanlang. Server kim ulanganini ko'rishi kerak bo'lsa, qoidani haqiqiy VPN havzasi bilan cheklang va tarjima qilingan yo'lni faqat serverga bu ma'lumot haqiqatan kerak bo'lmaganda qabul qiling. Tanlangan manba diapazonini qoida yoniga yozib qo'ying, chunki buni tuzatadigan keyingi odam birinchi navbatda manzillar jadvaliga qaraydi.