Zašto vaš VPN adapter ostaje na javnom profilu zaštitnog zida

Tunel je aktivan, račun je autentificiran na domeni, a Windows i dalje označava vezu kao javnu. Zato se pravilo zaštitnog zida napisano za profil domene ne primjenjuje, a dijeljeni folder ostaje nedostupan. Uobičajeni pokušaj popravke je postavljanje adaptera na privatno, što mijenja koja pravila vrijede, ali ne mijenja ništa u autentifikaciji. I oznaka i popravka su široko pogrešno shvaćene, a njihovo razdvajanje zahtijeva tri komande.

Račun koji se povezao nije kategorija mreže

Tokom VPN veze donose se dvije različite odluke i lako ih je pomiješati. Gateway odlučuje može li se račun povezati. Windows odlučuje kako klasificirati nastalu mrežu, a ta klasifikacija određuje koja pravila zaštitnog zida vrijede za interfejs.

Uspješna autentifikacija na domeni na gatewayu dokaz je o računu. To nije dokaz da je krajnja tačka autentificirala mrežu na kontroleru domene, a upravo to predstavlja kategorija domene.

Zato mašina može biti pridružena domeni, povezivati se računom domene i ipak prikazivati javno. Klasifikacija je lokalna odluka o mreži, a ne izjava o vjerodajnicama koje su otvorile tunel. Račun može biti potpuno valjan dok oznaka ostaje tamo gdje je počela.

Tri kategorije, jednu od kojih ne možete postaviti

Windows izlaže tri kategorije i samo dvije od njih može dodijeliti administrator. Treću određuje operativni sistem nakon što uspješno autentificira mrežu na kontroleru domene.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Treća komanda ne uspijeva i to je dokumentirano ponašanje, a ne problem s dozvolama. Referenca same komande navodi da se kategorija domene ne može dodijeliti na taj način, jer je Windows izvodi iz autentifikacije na domeni. Vidjeti grešku korisna je potvrda da je kategorija posljedica, a ne postavka.

Pročitajte prvu komandu na krajnjoj tački čiji se saobraćaj blokira. Klasifikacija vlastitog interfejsa gatewaya ne govori ništa o tome kako je svaka radna stanica klasificirala svoj tunel.

Pravila slijede profil za koji su napisana

Kada znate kategoriju, nedostajući pristup obično se sam objasni. Svako pravilo Windows Firewalla nosi opseg profila, a pravilo ograničeno na domenu ne vrijedi kada je interfejs javan. Tri komande to pretvaraju u odgovor, a ne u teoriju, a treća hvata slučaj u kojem profil nikada nije bio problem:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Druga komanda je ona koja nejasan izvještaj pretvara u popravku. Ako je pravilo ograničeno na raspon udaljenih adresa koji ne uključuje VPN pool, ni promjena profila neće pomoći.

Provjerite i zadanu radnju za dolazni saobraćaj. Na mašini na kojoj je dolazni saobraćaj zadano blokiran, nedostajuće pravilo dozvole proizvodi tišinu umjesto odbijanja. S klijentske strane to izgleda identično kao greška usmjeravanja, zbog čega toliko ovih zahtjeva počinje s pogrešnom pretpostavkom.

Utvrdite koja mašina primjenjuje pravilo

Prije promjene kategorije utvrdite gdje se blokada događa. Server koji hostuje dijeljeni folder može imati vlastiti zaštitni zid, a njegova pravila vrijede za saobraćaj koji dolazi iz VPN poola bez obzira na to kako je klijent označio svoj adapter. Odbijanje tamo je nevidljivo za svaku lokalnu komandu koju pokrenete, a klijentska strana samo javlja da resurs nije dostupan. Testirajte vlastita pravila odredišta prije nego što dirnete klasifikaciju klijenta.

Testirajte s klijenta na konkretni port, pa uporedite s testom s drugog hosta na istom VPN-u. Ako oba ne uspiju, problem je na odredištu ili na putu. Ako ne uspije samo jedan, razlika je lokalna za tu mašinu i kategorija profila postaje vjerovatan uzrok.

Imajte na umu i smjer. Pravilo koje dozvoljava dolazni SMB ne čini ništa za klijenta čije vlastito odlazno pravilo blokira isti saobraćaj. Iz prozora datotečnog upravitelja dva se kvara ne razlikuju, pa testirajte svaki smjer odvojeno prije bilo kakvog uređivanja.

Šta učiniti umjesto preimenovanja svega

Pretvaranje neidentificirane mreže u privatnu da bi se zadovoljilo široko pravilo stvarna je promjena sa stvarnim posljedicama. Privatni profil obično dozvoljava više otkrivanja i više dolaznog saobraćaja od javnog.

Ako je cilj omogućiti da konkretna usluga dosegne VPN klijente, ograničite pravilo po udaljenoj adresi umjesto po profilu. To precizno izražava namjeru, radi bez obzira na klasifikaciju i ne zavisi od toga da Windows ispravno pogodi virtualni adapter. Također preživljava ažuriranje klijenta koje preklasificira interfejs. Upišite pool u pravilo i sljedeća osoba može pročitati namjeru bez pitanja.

Ako se kategorija domene zaista očekuje i nikada se ne pojavi, to je zasebna istraga. Provjerite je li mašina pridružena domeni, može li doći do kontrolera domene kroz tunel i je li sigurni kanal zdrav. Te tri komande odgovaraju na to bez ijedne izmjene registra:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Te tri odgovaraju na pitanje je li krajnja tačka uopće mogla autentificirati mrežu. Ako ne može doći do kontrolera, kategorija domene nikada neće biti dodijeljena, koliko god puta adapter bio resetovan. Pravilo zaštitnog zida za kojim ste jurili nikada nije bilo pravi problem, a oznaka je bila simptom pokvarenog puta, a ne uzrok.