VPN müştəriləri Windows-un İctimai firewall profili tərəfindən bloklanır

Tuneliniz qalxıb, şlüz ping-ə cavab verir, fayl paylaşımı isə yenə vaxt aşımı ilə bitir. Bu birləşmə nadir hallarda marşrutlaşdırma problemidir: Windows VPN adapterinin alt şəbəkəsini İctimai profilə qoyub və Şəxsi və ya Domen profili üçün yazılmış hər icazə qaydası heç vaxt tətbiq olunmayıb. Mən buna ofisə problemsiz çatan noutbuklarda da, bütün digər müştərilərə xidmət edən RRAS serverlərində də rast gəlmişəm və iştirak edən profili adlandıran kimi düzəliş qısa olur. Budur işlədiyim sıra, növbəti addımdan əvvəl nə vaxt dayanmağı söyləyən yoxlama ilə birlikdə.

Trafikin həqiqətən hansı profillə gəldiyini müəyyənləşdirin

Windows firewall-un tək qlobal rejimi yoxdur. Hər qoşulmuş interfeys kateqoriya daşıyır və daxil olan paketlər gəldikləri interfeysin kateqoriyasına görə süzülür, buna görə də tuneldəki müştərinin nəyə çata biləcəyini VPN adapterinin profili müəyyən edir, yanındakı Wi-Fi və ya Ethernet adapteri deyil. Bir şeyi dəyişməzdən əvvəl hər iki faktı oxuyun:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

OpenVPN və ya WireGuard standart quraşdırmasında VPN adapteri naməlum şəbəkə kimi görünür və İctimai profilə düşür; bu, Windows-un təsnif edə bilmədiyi hər şəbəkə üçün standart dəyərdir: onun üzərindən heç bir domen nəzarətçisi cavab vermədi və heç bir şlüz profili uyğun gəlmədi. İnterfeysin adı burada əhəmiyyət daşımır, ona görə də adapteri «VPN» və ya «Corp» adlandırmaq heç nəyi dəyişmir. DomainAuthenticated domenə qoşulmuş maşın tələb edir , hansı ki, həmin interfeys vasitəsilə həqiqətən domen nəzarətçisinə çata bilir; yalnız bir alt şəbəkə daşıyan bölünmüş tunel bu tələbi ödəməyəcək.

Əgər sizə lazım olan qayda artıq VPN hovuzu ilə məhdudlaşıb və artıq yenicə oxuduğunuz kateqoriyaya tətbiq olunursa, burada dayanın: süzgəcləmə sizin qatınız deyil və yoxlanılacaq növbəti yer xidmətin konfiqurasiyasıdır. Bu yoxlama on saniyə çəkir və bir saat qayda redaktəsinə qənaət edir. Kateqoriyaların adları və hər birinin nəyi əhatə etdiyi burada sənədləşdirilib: Get-NetConnectionProfile istinad sənədləri.

Qaydaları redaktə etməzdən əvvəl süzgəcləməni, marşrutlaşdırmanı deyil, təsdiqləyin

Ping zəif testdir. ICMP keçə bilər, halbuki xidmət portu atılır, və host LAN-dan cavab verə bilər, halbuki eyni sorğunu tunel üzərindən rədd edir. Müştərinin ehtiyac duyduğu portu müştərinin özündən yoxlayın:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Port testi uğursuz olarsa, iki qatı ayırın. Tunel və ya marşrut nasazlığı adətən şlüz ünvanından heç cavab gəlməməsi kimi görünür, halbuki firewall atması cavab verən şlüz və cavab verməyən xidmət portu göstərir. Hovuzu RRAS vasitəsilə yayımlayan Windows serverində eyni testi müştəridən icra edin və serverin öz profilini oxuyun: RAS interfeysi giriş qaydaları müştəri diapazonunu heç xatırlatmayan kateqoriyada ola bilər və buna görə də maşın öz LAN-ına xidmət edir və tuneldəki hər müştərini rədd edir.

Nəticə hələ də birmənalı deyilsə, iştirak edən profil üçün atmaları jurnala yazın və oxuyun:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Müştərinin ünvanını və portunu DROP ilə adlandıran qeydlər qətiyyətlidir və hansı qaydanın çatışmadığını da söyləyir. İçində heç nə olmayan jurnal, halbuki müştərinin SYN-i heç görünmürsə, hostdan yuxarıya işarə edir, ona görə də başqa firewall obyektinə toxunmazdan əvvəl tunelə, NAT qaydasına və ya hovuz marşrutuna qayıdın.

Bir giriş qaydasını müştəri hovuzu ilə məhdudlaşdırın

Düzəliş uzaq ünvanı dünya deyil, hovuz olan bir giriş icazə qaydasıdır. Yüksəldilmiş sessiyadan:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Xidmət bir ikili fayl olduqda, port siyahısı əvəzinə -Program parametri ilə proqramla məhdudlaşdırılmış qaydaya üstünlük verin; bu, istisnanı həm prosesə, həm də mənbə diapazonuna bağlayır.

Profil seçimi eyni səhvin əks istiqamətdə edildiyi yerdir. -Profile Public adapter İctimai olduqda və İctimai qaldıqda kifayətdir. -Profile Any xidmət Windows-un adapteri necə təsnif etməsindən asılı olmayaraq işləməlidirsə, müdafiə oluna bilər, ancaq uzaq əhatə qaldığı müddətcə. Heç vaxt müdafiə oluna bilməyən şey -RemoteAddress Any İctimai profildədir: bu qayda noutbuku qoşulduğu hər kafe və otel şəbəkəsinə izləyir və portu həmin alt şəbəkəni paylaşan hər kəsə açır.

Hovuzu qaydanın yanında qeyd edin. -RemoteAddress 10.8.0.0/24 VPN hovuzu yenidən nömrələndiyi gün səssizcə uyğun gəlməyi dayandırır və nasazlıq tam orijinal səhvə bənzəyir, buna görə də ikinci günortaya başa gəlir. Qaydaları xidmətə və mənbə diapazonuna görə adlandırın, onları -Group ilə birlikdə saxlayın və hovuz tərifi dəyişdikcə yenidən oxuyun. Bir ekranda nəzərdən keçirə biləcəyiniz qayda inventarı heç kimin tapa bilmədiyi düzgün qaydadan üstündür.

Kateqoriyanı yalnız kateqoriya qərar olduqda dəyişin

İnterfeysi Şəxsiyə keçirmək də işləyir və bu yanlış standartdır. Şəxsi profil fayl və printer paylaşımını, şəbəkə aşkarlanmasını, uzaq masaüstünü və baza xəttindən asılı olaraq daha çoxunu əhatə edən daxili icazə qaydalarının uzun siyahısını daşıyır, buna görə də VPN adapterinin yenidən təsnifi onların hamısını tuneldəki hər müştəri üçün eyni anda aktivləşdirir. Bir məhdud qayda bir xidməti bir diapazona verir. Etibarsız şəbəkələrə də qoşulan noutbukda bu fərq kosmetik deyil.

Təsnifatın həqiqətən səhv olduğu hallar var: həmişə aktiv və ya saytlararası tunel ofis alt şəbəkəsini daşıyırsa, o, etibarlı infrastrukturdur və həmin adapteri Şəxsi kimi işarələmək qanuni dizayn seçimidir, bir dəfə siyasətlə verilir, hər müraciətə görə deyil. Bunu edərkən açıq şəkildə edin:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

İdarə olunan cihazda əvvəlcə parametrə qrup siyasətinin və ya MDM baza xəttinin sahib olub-olmadığını yoxlayın. Sahibdirsə, yerli dəyişiklik növbəti yeniləmədə geri qaytarılır və gpresult /h ona sahib olan siyasəti adlandıracaq; onu orada düzəldin, son nöqtədə deyil.

Hər iki tərəfdən yoxlayın və iz buraxın

İstifadəçinin bildirdiyi axını müştəridən, dəyişiklikdən sonra yoxlayın:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Sonra gələn həftə pozulacaq şeylər üzərində dövrəni bağlayın. Hostu yenidən başladın və yenidən test edin, çünki səhv profilə məhdudlaşdırılmış qayda adapter başqa kateqoriyada qayıdana qədər işləməyə davam edir. İkinci müştəridən test edin, çünki köhnəlmiş icarəsi olan bir müştəri hovuz uyğunsuzluğunu gizlədə bilər. Əlavə etdiyiniz qaydaları sildiklərinizlə sayın, çünki üst-üstə düşən istisnalar iki sətirlik düzəlişin heç kimin nəzərdən keçirə bilmədiyi süzgəcləmə siyasətinə çevrilmə yoludur.

Onu bitmiş saymazdan əvvəl:

• Qaydada adlandırılan profil trafikin gəldiyi interfeysin profilidir.
• Uzaq əhatə VPN hovuzudur və bu hovuz serverin həqiqətən verdiyinə uyğun gəlir.
• Əlavə etdiyiniz heç bir qayda İctimai profildə -RemoteAddress Any istifadə etmir.
• Testin keçməsi üçün heç nə söndürülmədi və hər kateqoriya dəyişikliyi onu kimin təsdiqlədiyini qeyd edir.