CCNA DNS 53 / UDP,TCP Application מה זה שירות שמות: ממיר שם (dc01.corp.local) לכתובת IP. בלי DNS תקין — Active Directory פשוט לא עובד.
דוגמה מהחיים מחשב מחפש רשומת SRV בשם _ldap._tcp.dc._msdcs.corp.local כדי למצוא את ה־Domain Controller לפני התחברות.
סימפטומים נפוצים שם לא נפתר / התחברות לדומיין נכשלת / "DNS name does not exist". בדוק שהלקוח מצביע על ה־DC כשרת DNS ולא על 8.8.8.8, ושרשומות SRV קיימות.
פקודות בדיקה nslookup dc01.corp.local nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.local ipconfig /flushdns | ipconfig /registerdns dcdiag /test:DNS Router# show ip name-server למעבר לנושא המלא DHCP 67, 68 / UDP Application מה זה מחלק כתובות IP אוטומטית למחשבים ברשת (תהליך DORA: Discover, Offer, Request, Ack).
דוגמה מהחיים מחשב נייד מתחבר למשרד ותוך שנייה מקבל IP, Gateway ושרת DNS — בלי שאף אחד הגדיר לו כלום ידנית.
סימפטומים נפוצים המחשב מקבל 169.254.x.x (APIPA) — אין תשובה מה־DHCP. סיבות: Scope מלא, השרת ב־VLAN אחר בלי ip helper-address, או Rogue DHCP.
פקודות בדיקה ipconfig /all | ipconfig /release | ipconfig /renew Get-DhcpServerv4Scope | Get-DhcpServerv4Lease -ScopeId 10.0.10.0 Router# show ip dhcp binding Router# show ip dhcp pool Router# debug ip dhcp server events למעבר לנושא המלא HTTP / HTTPS 80 / 443 / TCP Web מה זה פרוטוקול הדפדפן. HTTPS מוסיף הצפנת TLS כך שאף אחד באמצע לא קורא את התוכן.
דוגמה מהחיים נכנסים לפורטל ארגוני, רואים מנעול בשורת הכתובת — התעבורה מוצפנת ב־HTTPS.
סימפטומים נפוצים 404 = כתובת שגויה בשרת; 403 = הרשאות; 502/504 = שרת אחורי לא עונה; "Connection refused" = השירות כבוי או פורט חסום.
פקודות בדיקה curl -I https://intranet.corp.local Test-NetConnection web01 -Port 443 nslookup intranet.corp.local למעבר לתרשים בנושא TLS / SSL נלווה לפרוטוקולים אחרים Security מה זה שכבת ההצפנה שעוטפת פרוטוקולים אחרים (HTTPS, LDAPS, SMTPS) ומאמתת את זהות השרת בעזרת תעודה.
דוגמה מהחיים שרת מציג תעודה שהונפקה ע"י ה־CA הארגוני, והמחשב מאשר: זה באמת השרת הנכון.
סימפטומים נפוצים אזהרת דפדפן: תעודה פגה, שם לא תואם (CN/SAN), או שה־CA לא מותקן אצל הלקוח. סטייה בשעון גם גורמת ל־"certificate not yet valid".
פקודות בדיקה openssl s_client -connect web01:443 curl -vI https://web01 certutil -verify -urlfetch cert.cer NTP 123 / UDP Infrastructure מה זה סנכרון שעון. ב־AD פער של יותר מ־5 דקות בין מחשב ל־DC שובר את Kerberos לגמרי.
דוגמה מהחיים משתמש לא מצליח להתחבר אחרי חופשה — השעון של המחשב סטה, סנכרון זמן פותר את הבעיה.
סימפטומים נפוצים סטייה בשעון מפילה Kerberos ומבלבלת יומנים. סימן: "unsynchronized" בפלט, או stratum 16 בנתב.
פקודות בדיקה w32tm /query /status | w32tm /resync w32tm /monitor Router# show ntp status | show ntp associations Router# debug ntp packets למעבר לנושא המלא SNMP 161, 162 / UDP Monitoring מה זה ניטור ציוד רשת: שואלים מתג או ראוטר מה מצבו, או מקבלים ממנו התראה (Trap).
דוגמה מהחיים מערכת ניטור מתריעה שפורט במתג נפל — ההתראה הגיעה כ־SNMP Trap.
סימפטומים נפוצים אין נתונים בכלי הניטור: Community String שגוי, גרסה לא תואמת (v2c מול v3), או ACL שחוסם את שרת הניטור.
פקודות בדיקה snmpwalk -v2c -c public 10.0.0.1 Router# show snmp Router# show snmp community למעבר לנושא המלא Syslog 514 / UDP Monitoring מה זה סטנדרט לשליחת לוגים ממכשירים אל שרת מרכזי / SIEM.
דוגמה מהחיים כל המתגים שולחים לוגים לשרת אחד, וכך רואים במקום אחד מי ניסה להתחבר ונכשל.
סימפטומים נפוצים אין הודעות בשרת: לא הוגדר logging host, ה־severity level גבוה מדי, או השעה שגויה (בלי NTP ההודעות חסרות ערך).
פקודות בדיקה Router# show logging Router# logging host 10.0.20.50 Router# debug ip packet (בזהירות!) tail -f /var/log/syslog למעבר לנושא המלא מה זה פרוטוקול שליחת דואר אלקטרוני בין שרתים ומלקוח לשרת.
דוגמה מהחיים מערכת ניטור שולחת מייל התראה לצוות ה־IT — היא עשתה זאת ב־SMTP.
סימפטומים נפוצים מיילים תקועים בתור: פורט 25 חסום אצל הספק, רשומת MX שגויה, או השרת ברשימה שחורה (Relay חסום).
פקודות בדיקה Test-NetConnection mail01 -Port 25 nslookup -type=MX corp.com telnet mail01 25 IMAP / POP3 143/993, 110/995 Mail מה זה קבלת דואר: IMAP משאיר את ההודעות על השרת ומסנכרן בין מכשירים, POP3 מוריד ומוחק.
דוגמה מהחיים אותו מייל מופיע גם בטלפון וגם במחשב — זה IMAP. אם נעלם אחרי הורדה — זה POP3.
סימפטומים נפוצים הלקוח לא מוריד דואר: פורט/הצפנה שגויים בהגדרות (993 מול 143), סיסמה שגויה, או תיבה מלאה.
פקודות בדיקה Test-NetConnection mail01 -Port 993 openssl s_client -connect mail01:993 FTP / SFTP 21 / 22 File transfer מה זה העברת קבצים. FTP שולח שם משתמש וסיסמה בטקסט גלוי — תמיד להעדיף SFTP מעל SSH.
דוגמה מהחיים מעלים קובץ גיבוי לשרת מרוחק בעזרת SFTP, כך שאף אחד ברשת לא רואה את הסיסמה.
סימפטומים נפוצים ההתחברות עוברת אבל רשימת הקבצים נתקעת — בעיית Passive/Active mode מול חומת אש. "Permission denied" = הרשאות בתיקייה.
פקודות בדיקה ftp 10.0.0.5 | sftp user@10.0.0.5 Test-NetConnection 10.0.0.5 -Port 21 openssl s_client -connect host:990 מה זה חיבור מוצפן לשורת הפקודה של שרתים ושל ציוד רשת (לינוקס, מתגים, ראוטרים).
דוגמה מהחיים אדמין מתחבר ל־switch בעזרת ssh admin@10.0.0.1 ומגדיר VLAN מרחוק.
סימפטומים נפוצים "Connection refused" = SSH לא מופעל או אין מפתח RSA. "No matching key exchange" = גרסאות לא תואמות. נדרש transport input ssh על קווי vty.
פקודות בדיקה ssh -v admin@10.0.0.1 Switch# show ip ssh | show users Switch# debug ip ssh Switch(config)# crypto key generate rsa modulus 2048 למעבר לנושא המלא Telnet 23 / TCP Remote access מה זה גרסה עתיקה ולא מוצפנת של SSH. הכול, כולל הסיסמה, עובר בטקסט גלוי — לכבות.
דוגמה מהחיים מי שמאזין לרשת רואה את סיסמת האדמין של המתג בבירור — לכן משתמשים ב־SSH במקום.
סימפטומים נפוצים "Password required, but none set" = אין סיסמה על vty. שים לב: Telnet שולח הכול בטקסט גלוי — להשתמש רק במעבדה.
פקודות בדיקה telnet 10.0.0.1 Switch# show line | show running-config | section line vty למעבר לנושא המלא מה זה מוצא את כתובת ה־MAC ששייכת לכתובת IP באותה רשת מקומית.
דוגמה מהחיים המחשב שלך שואל "מי מחזיק ב־192.168.1.1?" והראוטר עונה עם ה־MAC שלו. תוקף שעונה במקומו מבצע ARP Spoofing.
סימפטומים נפוצים IP כפול ברשת או תשובות ARP סותרות = הרעלת ARP (MitM). MAC לא מופיע = הפורט למטה או VLAN שגוי.
פקודות בדיקה arp -a | arp -d * Router# show ip arp Switch# show mac address-table Router# debug arp למעבר לתרשים בנושא מה זה פרוטוקול הודעות שירות של הרשת — ping ו־traceroute מבוססים עליו.
דוגמה מהחיים ping dc01 מראה אם השרת חי ותוך כמה מילישניות הוא עונה.
סימפטומים נפוצים "Request timed out" לא תמיד אומר שהיעד מת — לעיתים חומת אש חוסמת ICMP. "Destination host unreachable" = חסר מסלול/Gateway.
פקודות בדיקה ping -t 8.8.8.8 | ping -l 1472 -f (MTU) Router# show ip route Router# debug ip icmp למעבר לתרשים בנושא מה זה חיבור אמין: לוחצים ידיים (3-way handshake), מוודאים שכל חבילה הגיעה ובסדר הנכון. איטי יותר, בטוח יותר.
דוגמה מהחיים הורדת קובץ — אסור שיחסר בייט אחד, לכן משתמשים ב־TCP.
סימפטומים נפוצים "Connection refused" = אין שירות מאזין בפורט. תקיעה עד Timeout = חומת אש בולעת חבילות. הרבה TIME_WAIT = דליפת חיבורים באפליקציה.
פקודות בדיקה netstat -ano | findstr :445 Test-NetConnection srv01 -Port 445 Get-NetTCPConnection -State Established למעבר לתרשים בנושא מה זה שליחה מהירה בלי אישורי קבלה. מהיר, אבל חבילות עלולות ללכת לאיבוד.
דוגמה מהחיים שיחת וידאו: עדיף פריים אחד קופצני מאשר עיכוב של שנייה — לכן UDP.
סימפטומים נפוצים אין הודעת שגיאה — פשוט אין תשובה. בודקים בצד השרת אם החבילה הגיעה בכלל; אובדן חבילות משפיע ישירות על DNS ו־VoIP.
פקודות בדיקה netstat -ano -p udp nslookup (בדיקת DNS/UDP) Router# debug ip udp למעבר לתרשים בנושא VLAN (802.1Q) שכבה 2 Networking מה זה חלוקה לוגית של מתג פיזי אחד לכמה רשתות נפרדות, שלא רואות זו את זו.
דוגמה מהחיים הנהלת חשבונות ב־VLAN 10 והאורחים ב־VLAN 20 — אורח לא יכול להגיע לשרת הכספים.
סימפטומים נפוצים מחשב לא מקבל IP או לא רואה את הרשת: הפורט ב־VLAN שגוי, ה־VLAN לא ב־allowed list של ה־Trunk, או Native VLAN לא תואם בין המתגים.
פקודות בדיקה Switch# show vlan brief Switch# show interfaces trunk Switch# show interfaces gi0/1 switchport Switch# show interfaces status למעבר לתרשים בנושא מה זה מונע לולאות בין מתגים ע"י חסימה זמנית של קישורים מיותרים.
דוגמה מהחיים חיברו בטעות שני כבלים בין אותם מתגים — STP חוסם אחד מהם והרשת לא קורסת.
סימפטומים נפוצים רשת מתה או איטית מאוד + הפורטים מהבהבים = לולאה או Root Bridge שנבחר במקום הלא נכון. פורט במצב Blocking הוא לרוב תקין ומכוון.
פקודות בדיקה Switch# show spanning-tree Switch# show spanning-tree root Switch# show spanning-tree interface gi0/1 Switch# show spanning-tree blockedports למעבר לתרשים בנושא 802.1X שכבה 2 / NAC Security מה זה שומר סף לשקע הרשת: המכשיר חייב להזדהות לפני שהוא מקבל גישה לרשת בכלל.
דוגמה מהחיים אורח מחבר לפטופ לשקע בקיר ולא מקבל כלום עד שיזדהה — או שנזרק ל־VLAN אורחים.
סימפטומים נפוצים המשתמש לא מקבל רשת: אין Supplicant במחשב, שרת RADIUS לא זמין, או המכשיר הועבר ל־Guest/Restricted VLAN בגלל כישלון אימות.
פקודות בדיקה Switch# show dot1x all Switch# show authentication sessions interface gi0/2 Switch# debug dot1x events Get-WinEvent -LogName Security (NPS) למעבר לנושא המלא RADIUS 1812, 1813 / UDP Security מה זה שרת אימות מרכזי לגישת רשת (Wi-Fi, VPN, 802.1X). בעולם Microsoft זה NPS, שבודק מול AD.
דוגמה מהחיים מתחברים ל־Wi-Fi הארגוני עם שם המשתמש בדומיין — NPS/RADIUS מאשר מול Active Directory.
סימפטומים נפוצים כל האימותים נכשלים: Shared Secret לא תואם בין הנתב ל־NPS, פורט 1812/1813 חסום, או המדיניות ב־NPS לא מתאימה לקבוצה.
פקודות בדיקה Router# show radius statistics Router# test aaa group radius user pass new-code Router# debug radius authentication Get-NetEventSession (NPS logs) למעבר לנושא המלא מה זה NAT מתרגם כתובת פרטית לכתובת ציבורית. PAT (NAT Overload) עושה זאת לכל הרשת דרך כתובת אחת, לפי מספרי פורט.
דוגמה מהחיים כל המשרד (172.31.0.0/16) יוצא לאינטרנט דרך IP ציבורי אחד; הנתב זוכר איזה פורט שייך לאיזה מחשב.
סימפטומים נפוצים אין אינטרנט מהרשת הפנימית: חסר ip nat inside/outside על הממשקים, ה־ACL לא כולל את הרשת, או אין Default Route החוצה.
פקודות בדיקה Router# show ip nat translations Router# show ip nat statistics Router# clear ip nat translation * Router# debug ip nat למעבר לנושא המלא מה זה מיפוי קבוע 1:1 בין כתובת פנימית לכתובת ציבורית — נדרש לשרתים שצריך לגשת אליהם מבחוץ.
דוגמה מהחיים שרת WEB פנימי 172.19.0.10 ממופה ל־209.165.200.5 כדי שגולשים מבחוץ יגיעו אליו.
סימפטומים נפוצים השרת לא נגיש מבחוץ: המיפוי הוגדר לכתובת שגויה, אין ACL שמתיר את הפורט, או ה־Default Gateway של השרת לא מצביע על הנתב.
פקודות בדיקה Router# show ip nat translations Router# show run | include ip nat inside source static Router# debug ip nat למעבר לנושא המלא מה זה פרוטוקול ניתוב דינמי: הנתבים מחליפים מידע ובונים לבד את טבלת הניתוב לפי Cost. לכל נתב Router-ID ואזור (Area).
דוגמה מהחיים מוסיפים רשת חדשה LAN3 — כל הנתבים לומדים עליה תוך שניות בלי הגדרה ידנית בכל אחד.
סימפטומים נפוצים השכן לא עולה (תקוע ב־INIT/EXSTART): אי־התאמה ב־Area, ב־Hello/Dead timers, ב־MTU, או Wildcard Mask שגוי בפקודת network.
פקודות בדיקה Router# show ip ospf neighbor Router# show ip ospf interface brief Router# show ip route ospf Router# debug ip ospf adj למעבר לתרשים בנושא מה זה מסלול שנרשם ידנית: 'לרשת X — עבור דרך שכן Y'. פשוט, יציב, אבל לא מתעדכן לבד. 0.0.0.0/0 הוא Default Route.
דוגמה מהחיים בין שני נתבים ב־LAN3 רושמים מסלול סטטי אחד במקום להפעיל פרוטוקול ניתוב שלם.
סימפטומים נפוצים המסלול לא מופיע בטבלה = ה־Next-Hop לא נגיש או הממשק down. תעבורה הולכת רק לכיוון אחד = חסר מסלול חוזר בצד השני.
פקודות בדיקה Router# show ip route Router# show ip route 10.20.0.0 Router# ping 10.20.0.1 Router# traceroute 10.20.0.5 למעבר לתרשים בנושא מה זה שני נתבים חולקים כתובת Gateway וירטואלית: אחד Active והשני Standby. אם הפעיל נופל — השני תופס את התפקיד.
דוגמה מהחיים מנתקים את Router3; המחשב PC6 ממשיך לגלוש כי Router4 הפך ל־Active תוך שניות (Failover).
סימפטומים נפוצים שני נתבים במצב Active = לא רואים זה את זה (VLAN/ACL חוסם Multicast 224.0.0.2). Failover לא קורה = Priority/Preempt לא מוגדרים נכון.
פקודות בדיקה Router# show standby brief Router# show standby Router# debug standby events ping -t <virtual IP> בזמן failover למעבר לתרשים בנושא EtherChannel (LACP / PAgP) — Switching מה זה איחוד כמה כבלים פיזיים לקישור לוגי אחד: יותר רוחב פס וגיבוי אוטומטי. LACP הוא התקן, PAgP של Cisco.
דוגמה מהחיים שלושה כבלים בין Switch5 ל־Switch7 הופכים לערוץ אחד; ניתוק כבל אחד לא מפיל את הקישור.
סימפטומים נפוצים בפלט מופיע (I)/(s) במקום (P): מצבי הערוץ לא תואמים (active מול desirable), או שהפורטים שונים במהירות/Duplex/VLAN.
פקודות בדיקה Switch# show etherchannel summary Switch# show etherchannel port-channel Switch# show interfaces etherchannel Switch# debug etherchannel למעבר לתרשים בנושא SVI / Inter-VLAN Routing — Switching מה זה ממשק וירטואלי של VLAN במתג L3 (interface vlan 10) שמשמש Gateway ל־VLAN. בלעדיו VLANs לא מדברים ביניהם.
דוגמה מהחיים VLAN10 (משתמשים) ו־VLAN20 (מדפסות) מקבלים כל אחד SVI, וכך מחשב יכול להדפיס.
סימפטומים נפוצים ה־SVI במצב down/down = אין אף פורט פעיל ב־VLAN הזה. אין ניתוב בין VLANs = שכחו ip routing במתג L3 או Gateway שגוי בלקוח.
פקודות בדיקה Switch# show ip interface brief Switch# show vlan brief Switch# show ip route Switch(config)# ip routing למעבר לתרשים בנושא DHCP Relay (ip helper-address) 67 / UDP Infrastructure מה זה הופך בקשת DHCP מסוג Broadcast ל־Unicast אל שרת ב־VLAN אחר. בלעדיו לקוחות ברשת מרוחקת לא מקבלים כתובת.
דוגמה מהחיים המחשבים ב־VLAN20 מקבלים IP משרת DHCP שנמצא בחוות השרתים ב־LAN2.
סימפטומים נפוצים לקוחות ב־VLAN מרוחק מקבלים APIPA: helper-address לא הוגדר או מצביע לכתובת שגויה, או שאין Scope מתאים לרשת הזו בשרת.
פקודות בדיקה Router# show run interface vlan 20 Router# show ip dhcp binding Router# debug ip dhcp server packet ipconfig /renew בלקוח למעבר לנושא המלא מה זה מגביל אילו וכמה כתובות MAC מותרות בפורט מתג. במצב restrict הפרה נחסמת ונרשמת ביומן.
דוגמה מהחיים מישהו מחבר Switch פרטי לשקע במשרד — הפורט מזהה MAC נוסף וחוסם אותו מיד.
סימפטומים נפוצים הפורט עבר ל־err-disabled אחרי שחובר מכשיר נוסף. במצב restrict המונה עולה ונשלחת הודעת Syslog; לשחזור — shut/no shut או errdisable recovery.
פקודות בדיקה Switch# show port-security Switch# show port-security interface gi0/2 Switch# show port-security address Switch(config-if)# shutdown / no shutdown (שחזור) למעבר לנושא המלא מה זה רשימת כללי סינון: מי מותר ומי אסור, לפי כתובת, פרוטוקול ופורט. נקראת מלמעלה למטה, ובסוף יש deny משתמע.
דוגמה מהחיים ACL מונע תקשורת בין VLAN10 ל־VLAN20, אבל מאפשר לשניהם HTTP ו־DNS אל שרתי LAN2.
סימפטומים נפוצים התעבורה נחסמת "בלי סיבה": בסוף כל ACL יש deny any משתמע, סדר השורות שגוי, או ה־ACL הוצמד לכיוון הלא נכון (in מול out).
פקודות בדיקה Router# show access-lists Router# show ip interface gi0/0 | include access list Router# debug ip packet <acl> (בזהירות) Router# clear access-list counters למעבר לנושא המלא CAPWAP (WLC + AP) 5246, 5247 / UDP Wireless מה זה בקר אלחוטי (WLC) מנהל את כל נקודות הגישה במקום להגדיר כל אחת בנפרד; CAPWAP הוא המנהרה בין AP ל־WLC.
דוגמה מהחיים מגדירים SSID אחד ב־WLC — וכל נקודות הגישה בבניין משדרות אותו ומשייכות אותו ל־VLAN10.
סימפטומים נפוצים ה־AP לא נרשם ל־WLC: לא קיבל IP מ־DHCP, אין Option 43 / רשומת DNS CISCO-CAPWAP-CONTROLLER, או פערי גרסאות תוכנה.
פקודות בדיקה WLC> show ap summary WLC> show capwap client rcb AP# show capwap client mm Router# show ip dhcp binding (כתובת ל־AP) Traceroute / Ping ICMP Troubleshooting מה זה כלי האבחון הראשונים: Ping בודק אם היעד עונה, Traceroute מראה דרך אילו נתבים החבילה עוברת ואיפה היא נתקעת.
דוגמה מהחיים אין גישה לאתר הפנימי: ping לשרת עובד, אבל traceroute נעצר בנתב — הבעיה בניתוב ולא בשרת.
סימפטומים נפוצים כוכביות (*) בשלב מסוים = הנתב חוסם ICMP או שם נעצרת התעבורה. Ping ל־IP עובד אבל לשם לא = בעיית DNS, לא בעיית רשת.
פקודות בדיקה ping 8.8.8.8 | ping dc01 tracert 10.20.0.5 | traceroute 10.20.0.5 pathping 10.20.0.5 Router# show ip route למעבר לתרשים בנושא Microsoft / Active Directory LDAP / LDAPS 389 / 636 (TLS) Application מה זה שפת השאילתות של ספר הטלפונים הארגוני: כך שואלים את AD מי המשתמשים, לאילו קבוצות הם שייכים ומה התכונות שלהם. LDAPS הוא אותו דבר מוצפן.
דוגמה מהחיים אפליקציה ארגונית שואלת את AD: "האם המשתמש dani נמצא בקבוצה HR?" ומקבלת תשובה כן/לא.
סימפטומים נפוצים שאילתות נתקעות או נכשלות ב־"Can't contact LDAP server": פורט 389/636 חסום בחומת אש, תעודה פגה ב־LDAPS, או Bind עם משתמש שגוי.
פקודות בדיקה ldp.exe (חיבור ל־389/636) Test-NetConnection dc01 -Port 389 nltest /dsgetdc:corp.local Get-ADUser -Filter * -Server dc01 Kerberos 88 / UDP,TCP Authentication מה זה אימות מבוסס כרטיסים: מתחברים פעם אחת, מקבלים כרטיס (TGT), ואיתו ניגשים לשירותים בלי לשלוח סיסמה שוב.
דוגמה מהחיים אחרי התחברות בבוקר אתה פותח תיקייה משותפת בשרת קבצים ולא מתבקש סיסמה — הכרטיס עשה את העבודה.
סימפטומים נפוצים KRB_AP_ERR_SKEW = פער שעון מעל 5 דקות. נפילה ל־NTLM או שגיאת SPN = SPN חסר או כפול. "Bad password" חוזר = נעילת חשבון.
פקודות בדיקה klist | klist purge w32tm /query /status setspn -L svc_sql | setspn -X (כפילויות) nltest /sc_verify:corp.local NTLM עובד מעל SMB/445 Authentication מה זה פרוטוקול אימות ישן של Microsoft. עדיין קיים לתאימות, אבל פגיע ל־Pass-the-Hash — עדיף Kerberos.
דוגמה מהחיים מתחברים לשרת לפי כתובת IP במקום לפי שם — Kerberos לא מתאים, והמערכת נופלת חזרה ל־NTLM.
סימפטומים נפוצים אימות עובר ב־NTLM במקום Kerberos (Logon Type 3, NTLM ב־Event 4624) — בדרך כלל פנייה לפי IP ולא לפי שם, או SPN חסר. סימן לסיכון Relay.
פקודות בדיקה Get-WinEvent -LogName Security -FilterXPath "*[System/EventID=4624]" klist (לוודא שאין כרטיס Kerberos) nltest /dsgetdc:corp.local SMB / CIFS 445 / TCP File sharing מה זה פרוטוקול שיתוף קבצים ומדפסות של Windows. גם GPO מגיעים למחשבים דרך שיתוף SYSVOL ב־SMB.
דוגמה מהחיים אתה פותח \\fileserver\Shared בסייר הקבצים — זה SMB שעובד ברקע.
סימפטומים נפוצים "Access denied" למרות הרשאות = התנגשות Share מול NTFS. אין חיבור בכלל = פורט 445 חסום. אזהרת SMB Signing = הגדרה לא תואמת בין צדדים.
פקודות בדיקה net use \\\\fs01\\share Test-NetConnection fs01 -Port 445 Get-SmbConnection | Get-SmbShare gpresult /r (הרשאות/מדיניות) RDP 3389 / TCP Remote access מה זה שולחן עבודה מרוחק: שליטה גרפית במחשב אחר. יעד מועדף לתוקפים — לא לחשוף לאינטרנט.
דוגמה מהחיים אדמין מתחבר מהבית לשרת במשרד ורואה את המסך שלו כאילו הוא יושב מולו.
סימפטומים נפוצים "This computer can't connect" = השירות כבוי או פורט 3389 חסום. חיבור נופל מיד = מגבלת מספר סשנים או המשתמש לא בקבוצת Remote Desktop Users.
פקודות בדיקה Test-NetConnection srv01 -Port 3389 qwinsta /server:srv01 | rwinsta <id> Get-WinEvent -LogName Security -FilterXPath "*[System/EventID=4625]" WinRM / PowerShell Remoting 5985 / 5986 (HTTPS) Remote access מה זה ניהול מרחוק בשורת פקודה: מריצים פקודות PowerShell על מחשב אחר בלי מסך גרפי.
דוגמה מהחיים Enter-PSSession -ComputerName SRV01 ואתה כבר מריץ פקודות על השרת מהמחשב שלך.
סימפטומים נפוצים "WinRM cannot complete the operation" = השירות לא פעיל, פורט 5985/5986 חסום, או שהמכונה לא בדומיין ולא ב־TrustedHosts.
פקודות בדיקה Test-WSMan srv01 winrm quickconfig Enter-PSSession srv01 Get-Item WSMan:\localhost\Client\TrustedHosts MSRPC / DCERPC 135 + פורטים דינמיים AD internals מה זה מנגנון קריאות הפרוצדורה המרוחקות של Windows. דרכו עוברים שכפול בין DCs, כלי ניהול ו־DCSync.
דוגמה מהחיים כשאתה פותח Active Directory Users and Computers, הכלי מדבר עם ה־DC דרך RPC.
סימפטומים נפוצים כלי ניהול נכשלים ב־"RPC server is unavailable": פורט 135 או טווח הפורטים הדינמי (49152-65535) חסום בחומת אש.
פקודות בדיקה Test-NetConnection dc01 -Port 135 netstat -ano | findstr 135 dcdiag /test:Replications repadmin /replsummary Global Catalog 3268 / 3269 (TLS) AD internals מה זה עותק חלקי של כל האובייקטים ביער — מאפשר חיפוש מהיר בין דומיינים.
דוגמה מהחיים Outlook מחפש איש קשר מדומיין אחר בארגון ומוצא אותו מיד — הודות ל־Global Catalog.
סימפטומים נפוצים חיפוש משתמשים מיערות/דומיינים אחרים נכשל, או התחברות איטית: אין GC זמין באתר או פורט 3268 חסום.
פקודות בדיקה nltest /dsgetdc:corp.local /gc Test-NetConnection dc01 -Port 3268 dcdiag /test:advertising repadmin /showrepl LLMNR / NBT-NS 5355 / 137 Legacy מה זה פרוטוקולים ישנים לגילוי שמות כש־DNS נכשל. תוקף עונה במקום השרת האמיתי וגונב Hash — לכבות אותם.
דוגמה מהחיים הקלדת שם שרת בטעות; המחשב שואל את כל הרשת, ותוקף עם Responder עונה "זה אני" ואוסף את פרטי ההזדהות.
סימפטומים נפוצים אם שם לא נפתר ב־DNS, Windows משדר שאלה לכל הרשת — ותוקף עונה במקום (Responder) וגונב Hash. הפתרון: לכבות LLMNR/NBT-NS ולתקן DNS.
פקודות בדיקה Get-DnsClientGlobalSetting nbtstat -n Get-WinEvent -LogName Security (4624 NTLM) SAML / OAuth 2.0 / OIDC מעל HTTPS Modern identity מה זה פרוטוקולי זהות מודרניים לענן: מתחברים פעם אחת (SSO) ונכנסים להרבה אפליקציות בלי סיסמה נוספת.
דוגמה מהחיים מתחברים ל־Microsoft 365 ואז נכנסים ל־Zoom או Jira בלי להקליד סיסמה שוב.
סימפטומים נפוצים לולאת התחברות אינסופית או "Invalid signature": שעון סוטה, תעודת חתימה פגה, או Reply URL / Entity ID לא תואמים בין הצדדים.
פקודות בדיקה בדיקת שעון: w32tm /query /status כלי דפדפן: SAML-tracer / Network tab openssl s_client -connect idp:443