LocalSubnet trong quy tắc tường lửa SMB sẽ không bao phủ máy khách VPN
Quy tắc cho phép LocalSubnet bao phủ các mạng con của chính máy chủ, không phải một nhóm VPN được định tuyến. So sánh địa chỉ nguồn mà máy chủ thấy trước khi mở rộng phạm vi.
Máy tính để bàn văn phòng truy cập được thư mục chia sẻ, người dùng VPN bị hết thời gian chờ, và cùng tài khoản đó hoạt động từ điểm phát sóng di động. Quyền chia sẻ hiếm khi là khác biệt; địa chỉ đến máy chủ tệp thường là khác biệt. Một quy tắc giới hạn ở LocalSubnet cho phép các mạng con được gắn của chính máy chủ, và một nhóm VPN được định tuyến riêng không phải là một trong số đó. Hai thiết kế lấp khoảng trống này, và chúng để lại những bản ghi rất khác nhau.
Hai thiết kế, một triệu chứng
Thiết kế thứ nhất thêm nhóm VPN vào điều kiện địa chỉ từ xa của quy tắc. Máy chủ sau đó thấy địa chỉ đường hầm của từng máy khách, nên nhật ký của nó có thể tách một người dùng từ xa khỏi người khác. Thiết kế thứ hai định tuyến lưu lượng VPN qua một cổng chuyển nó thành địa chỉ LAN trước khi máy chủ thấy. Điều đó khôi phục kết nối và loại bỏ sự phân biệt trong cùng một bước.
Bảng mô tả vai trò chứ không phải địa chỉ, và các tiền tố của bạn quyết định hàng nào áp dụng. In các giá trị thực của máy chủ thay vì sao chép một ví dụ từ bài đăng blog:
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthBảng là công cụ hỗ trợ quyết định, không phải tuyên bố về mọi triển khai. Một máy chủ có thêm giao diện, liên kết trang thứ hai hoặc mặt nạ khác có tập cục bộ khác.
| Path the packet takes | Address the server records | Filter scope that admits it | What the log can still tell you |
|---|---|---|---|
| Desktop on the server LAN | Its own LAN address | LocalSubnet or the LAN prefix | Which workstation connected |
| Client on the routed VPN pool | Its tunnel address | The VPN pool as a remote address | Which VPN account connected, if the pool is logged |
| Client behind source NAT at the gateway | The gateway's LAN address | The gateway address | Only that some VPN user connected |
| Site-to-site gateway | The remote gateway's tunnel address | The remote site's prefix | Which site connected, not which user |
Tài liệu tham khảo New-NetFirewallRule của Microsoft mô tả các điều kiện địa chỉ từ xa và từ khóa LocalSubnet. Hãy đọc trước khi quyết định rằng từ khóa có nghĩa là mọi địa chỉ riêng tư, vì không phải vậy.
So sánh những gì máy chủ thực sự nhận được
Đọc quy tắc có hiệu lực thay vì quy tắc mà ai đó nhớ là đã tạo. Kiểm tra rằng nó được bật, áp dụng cho hồ sơ đang hoạt động và điều kiện địa chỉ từ xa khớp với nguồn mà máy chủ thấy. Một quy tắc chỉ được bật trên hồ sơ Domain không làm gì khi bộ điều hợp đã chuyển sang Public sau một thay đổi mạng.
Get-NetFirewallRule -DisplayGroup 'File and Printer Sharing' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionLệnh thứ nhất in các bộ lọc địa chỉ gắn với quy tắc chia sẻ tệp, và lệnh thứ hai cho thấy hồ sơ nào đang hoạt động và lưu lượng đến không khớp được xử lý thế nào. Cũng tìm quy tắc chặn và chính sách được quản lý tập trung. Quy tắc chặn được ưu tiên hơn quy tắc cho phép, và chính sách tắt việc hợp nhất quy tắc cục bộ có thể làm một ngoại lệ cục bộ mới trở nên vô hiệu.
Đây là trường hợp quy tắc trông đúng trong bảng điều khiển mà không có tác dụng với lưu lượng. Kiểm tra việc gán hồ sơ cùng lúc, vì một máy tính xách tay đã tham gia mạng khác có thể chuyển sang hồ sơ Public mà không ai chạm vào tường lửa.
Kiểm tra vận chuyển trước khi đăng nhập
Tách khả năng tiếp cận khỏi xác thực. Một trình lắng nghe trên TCP 445 chứng minh rằng một dịch vụ được gắn với cổng; nó không chứng minh rằng một gói từ xa có thể đến được cổng đó. Một kết nối TCP hoàn tất, ngược lại, chưa nói gì về việc thiết lập phiên SMB hay quyền chia sẻ. Kiểm tra bắt tay từ cả hai phía trước khi sửa một quy tắc.
Test-NetConnection -ComputerName files.corp.example -Port 445
Test-NetConnection -ComputerName files.corp.example -Port 445 -InformationLevel DetailedLệnh thứ nhất báo cáo liệu bắt tay TCP có thành công từ máy bạn chạy hay không, và lệnh thứ hai thêm địa chỉ đã phân giải và chi tiết giao diện. Chạy nó từ máy khách VPN và từ máy tính để bàn văn phòng, rồi so sánh. Ping không trả lời câu hỏi nào, vì ICMP có thể bị chặn trong khi SMB mở, hoặc được cho phép trong khi tường lửa bỏ 445.
Nếu bắt tay chỉ thất bại từ VPN, phạm vi nguồn là nghi phạm chính. Nếu nó thành công mà thư mục chia sẻ vẫn từ chối bạn, hãy chuyển sang chẩn đoán phiên và quyền SMB thay vì sửa quy tắc tường lửa.
Khi NAT nguồn loại bỏ sự phân biệt
Khi có chuyển đổi trên đường đi, máy chủ không thể phân biệt từng máy khách VPN theo địa chỉ. Mỗi người dùng từ xa đến như cổng. Mọi ủy quyền phụ thuộc vào việc phân biệt họ phải được thực thi ở nơi danh tính của họ còn nhìn thấy được, thường là bộ tập trung VPN hoặc proxy xác thực. Quy tắc tường lửa có thể cho lưu lượng đi qua; nó không thể khôi phục sự phân biệt mà chuyển đổi đã loại bỏ.
Khi địa chỉ cổng đó được cho phép, mỗi người dùng từ xa được ghi nhận dưới một địa chỉ duy nhất, nên quy tắc cấp toàn bộ nhóm cho bất kỳ ai đến được cổng. Nếu quyết định theo từng người dùng quan trọng, hãy giữ các địa chỉ gốc hiển thị hoặc chuyển quyết định sang một lớp vẫn biết người dùng. Nếu không, mỗi người dùng từ xa thừa hưởng quyền của địa chỉ duy nhất mà máy chủ thấy, và dấu vết kiểm toán không thể phân biệt họ nữa. Đó là quyết định thiết kế, không phải chi tiết tường lửa.
Chọn có chủ đích giữa hai thiết kế. Giới hạn quy tắc vào nhóm VPN thực khi máy chủ phải thấy ai đã kết nối, và chỉ chấp nhận đường đi đã chuyển đổi khi máy chủ thực sự không cần thông tin đó. Ghi lại dải nguồn đã chọn bên cạnh quy tắc, vì người tiếp theo gỡ lỗi việc này sẽ xem bảng địa chỉ trước.