VPN adapteriniz niyə ictimai qoruyucu divar profilində qalır

Tunel işləyir, hesab domenə qarşı autentifikasiya olunub, amma Windows bağlantını yenə İctimai kimi qeyd edir. Buna görə domen profili üçün yazılmış qoruyucu divar qaydası tətbiq olunmur və fayl paylaşımı əlçatmaz qalır. Adətən təklif olunan düzəliş adapteri Şəxsi vəziyyətinə qoymaqdır; bu, autentifikasiya ilə bağlı heç nəyi dəyişmədən hansı qaydaların tətbiq olunacağını dəyişir. Həm etiket, həm də düzəliş geniş şəkildə yanlış başa düşülür və onları ayırmaq üçün üç əmr lazımdır.

Qoşulan hesab şəbəkənin kateqoriyası deyil

VPN bağlantısı zamanı iki fərqli qərar verilir və onları qarışdırmaq asandır. Şlüz hesabın qoşula biləcəyinə qərar verir. Windows isə yaranan şəbəkənin necə təsnif ediləcəyinə qərar verir və bu təsnifat interfeysə hansı qoruyucu divar qaydalarının tətbiq olunacağını müəyyən edir.

Şlüzdə uğurlu domen autentifikasiyası hesab haqqında sübutdur. Bu, son nöqtənin şəbəkəni domen nəzarətçisinə qarşı autentifikasiya etdiyinə dair sübut deyil və domen kateqoriyası məhz bunu ifadə edir.

Buna görə maşın domenə qoşulmuş ola, domen hesabı ilə qoşula və yenə İctimai göstərə bilər. Təsnifat şəbəkə haqqında lokal qərardır, tuneli açan etimadnamələr haqqında bəyanat deyil. Hesab tam etibarlı ola bilər, etiket isə başladığı yerdə qala bilər.

Üç kateqoriya, biri sizin təyin edə bilmədiyiniz

Windows üç kateqoriya təqdim edir və onlardan yalnız ikisini administrator təyin edə bilər. Üçüncüsünü əməliyyat sistemi şəbəkəni domen nəzarətçisinə qarşı uğurla autentifikasiya etdikdən sonra müəyyən edir.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Üçüncü əmr uğursuz olur və bu, icazə problemi deyil, sənədləşdirilmiş davranışdır. Cmdlet-in öz arayışı bildirir ki, domen kateqoriyası bu yolla təyin edilə bilməz, çünki Windows onu domen autentifikasiyasından çıxarır. Xətanı görmək kateqoriyanın parametr deyil, nəticə olduğunu təsdiqləmək üçün faydalıdır.

Birinci əmri trafiki bloklanan son nöqtədə oxuyun. Şlüzün öz interfeys təsnifatı hər qoşulan iş stansiyasının öz tunelini necə təsnif etdiyi barədə heç nə demir.

Qaydalar yazıldıqları profili izləyir

Kateqoriyanı bildikdən sonra çatışmayan giriş adətən özünü izah edir. Hər Windows qoruyucu divar qaydası profil əhatəsi daşıyır və domen üçün nəzərdə tutulmuş qayda interfeys ictimai olduqda tətbiq olunmur. Üç əmr bunu nəzəriyyə deyil, cavab kimi göstərir və üçüncüsü profil heç vaxt problem olmadığı halı tutur:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

İkinci əmr qeyri-müəyyən hesabatı düzəlişə çevirən əmrdir. Qayda VPN hovuzunu əhatə etməyən uzaq ünvan diapazonuna aid edilibsə, profilin dəyişdirilməsi də kömək etməyəcək.

Defolt giriş əməliyyatını da yoxlayın. Girişin defolt olaraq bloklandığı maşında çatışmayan icazə qaydası imtina yerinə sükut yaradır. Bu, müştəri tərəfindən marşrutlaşdırma nasazlığı ilə eyni görünür; buna görə bu biletlərin çoxu yanlış fərziyyə ilə başlayır.

Qaydanı hansı maşının tətbiq etdiyini müəyyənləşdirin

Kateqoriyanı dəyişməzdən əvvəl blokun harada baş verdiyini müəyyən edin. Paylaşımı yerləşdirən serverin öz qoruyucu divarı ola bilər və onun qaydaları müştərinin adapterini necə adlandırmasından asılı olmayaraq VPN hovuzundan gələn trafikə tətbiq olunur. Oradakı imtina yerinə yetirdiyiniz heç bir lokal əmrdə görünmür və müştəri tərəfi yalnız resursun əlçatmaz olduğunu bildirir. Müştərinin təsnifatına toxunmazdan əvvəl təyinatın öz qaydalarını yoxlayın.

Müştəridən konkret porta qədər yoxlayın, sonra həmin VPN-dəki başqa hostdan sınaqla müqayisə edin. Hər ikisi uğursuz olarsa, problem təyinatdadır və ya yoldadır. Yalnız biri uğursuz olarsa, fərq həmin maşına aiddir və profil kateqoriyası ehtimal olunan səbəbə çevrilir.

İstiqaməti də unutmayın. Giriş SMB-yə icazə verən qayda, çıxış qaydası həmin trafiki bloklayan müştəri üçün heç nə etmir. Fayl meneceri pəncərəsindən iki nasazlıq ayırd edilə bilmir, buna görə hər istiqaməti ayrıca yoxlayın.

Hər şeyi yenidən adlandırmaq əvəzinə nə etməli

Geniş qaydaya uyğun gəlmək üçün naməlum şəbəkəni Şəxsi etmək real nəticələri olan real dəyişiklikdir. Şəxsi profil adətən ictimai profildən daha çox kəşfiyyata və daha çox giriş trafikinə icazə verir.

Məqsəd konkret xidmətin VPN müştərilərinə çatmasına imkan verməkdirsə, qaydanı profilə görə deyil, uzaq ünvana görə əhatələndirin. Bu, niyyəti dəqiq ifadə edir, təsnifatdan asılı olmayaraq işləyir və Windows-un virtual adapter barədə düzgün təxmin etməsindən asılı deyil. Həm də interfeysi yenidən təsnif edən müştəri yeniləməsindən sonra da qüvvədə qalır. Hovuzu qaydaya yazın və növbəti şəxs soruşmadan niyyəti oxuya bilsin.

Domen kateqoriyası həqiqətən gözlənilirsə və heç vaxt görünmürsə, bu ayrı bir araşdırmadır. Maşının domenə qoşulduğunu, tunel vasitəsilə domen nəzarətçisinə çata bildiyini və təhlükəsiz kanalın sağlam olduğunu yoxlayın. Bu üç əmr bir dənə də reyestr düzəlişi etmədən cavab verir:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Bu üç əmr son nöqtənin şəbəkəni ümumiyyətlə autentifikasiya edə biləcəyini cavablandırır. Nəzarətçiyə çata bilmirsə, adapter nə qədər sıfırlansa da domen kateqoriyası heç vaxt təyin edilməyəcək. Ardınca düşdüyünüz qoruyucu divar qaydası heç vaxt əsl problem deyildi və etiket səbəb deyil, pozulmuş yolun simptomu idi.