![新站点中的新 AD-DC 拒绝跨站点 IPv4 连接](https://linux22.com/image/509731/%E6%96%B0%E7%AB%99%E7%82%B9%E4%B8%AD%E7%9A%84%E6%96%B0%20AD-DC%20%E6%8B%92%E7%BB%9D%E8%B7%A8%E7%AB%99%E7%82%B9%20IPv4%20%E8%BF%9E%E6%8E%A5.png)
我们刚刚在新站点中添加了新的 Server 2008 (sp2) 域控制器,这是我们的第一个此类配置。它通过 VPN 网关 WAN(10Mbit)。不幸的是,它显示了一个奇怪的网络症状。如果连接是通过纯 IPv4 传入的,则主动拒绝与 SMB 端口(TCP/139 和 TCP/445)的连接。如果传入连接是通过 6to4 隧道传入的,则这些连接可以建立并正常工作。
这不是防火墙的问题,因为这种行为在防火墙关闭的情况下也可以重现。此外,它实际上向连接尝试发出 RST 数据包;只有当端口后面有服务并且服务本身拒绝访问时,才会在 Windows 防火墙上发生这种情况。我怀疑这是线路上的某个防火墙设备的问题,因为这个设备替换的服务器正在运行 Samba,从我们的主要网络访问它运行正常。
我认为这可能与 AD 站点和服务中的子网列表有关,但我不确定。我们没有在其中放置任何 IPv6 地址,只有 v4,并且 v4 连接被拒绝。不幸的是,我无法弄清楚。我们需要能够从主校区与此 DC 通信。是否存在某种基于站点的 SMB 级过滤?我可以很好地与校园内的 DC 通信,但这是通过 v6 隧道进行的。我无法访问该远程子网上的常规机器,这限制了我的测试能力。
答案1
这里回答我自己的问题,但 Helvick 回答得很准确。刚刚和我们的防火墙人员进行了一次长谈(他们一整天都不在办公室,忙着搭建新的远程站点,所以之前我还没有机会和他们交谈)。他们重新安排了规则顺序,似乎已经解决了问题。旧的传统 IPv4 BLOCK TCP/139 规则被 6to4 网关绕过,这就是流量通过的原因。
回想起来,我们之前进行的 Samba 访问不应该从主网络进行。我必须检查一下发生了什么。
反正已经解决了。