Per què el vostre adaptador VPN es queda al perfil públic del tallafoc

El túnel està actiu, el compte s’ha autenticat al domini i Windows encara etiqueta la connexió com a pública. Per tant, una regla de tallafoc escrita per al perfil de domini no s’aplica i la carpeta compartida continua inabastable. L’intent habitual de solució és posar l’adaptador en privat, cosa que canvia quines regles s’apliquen sense canviar res de l’autenticació. Tant l’etiqueta com la solució s’entenen malament arreu, i separar-les requereix tres ordres.

El compte que s’ha connectat no és la categoria de la xarxa

Durant una connexió VPN es prenen dues decisions diferents i és fàcil confondre-les. La passarel·la decideix si el compte es pot connectar. Windows decideix com classificar la xarxa resultant, i aquesta classificació determina quines regles de tallafoc s’apliquen a la interfície.

Una autenticació de domini correcta a la passarel·la és una prova sobre el compte. No és una prova que el punt final hagi autenticat la xarxa contra un controlador de domini, que és el que representa realment la categoria de domini.

Per això una màquina pot estar unida a un domini, connectar-se amb un compte de domini i mostrar igualment Públic. La classificació és una determinació local sobre la xarxa, no una afirmació sobre les credencials que van obrir el túnel. El compte pot ser perfectament vàlid mentre l’etiqueta es queda on era.

Tres categories, una de les quals no podeu assignar

Windows exposa tres categories i només dues es poden assignar per un administrador. La tercera la decideix el sistema operatiu després d’autenticar correctament la xarxa contra un controlador de domini.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

La tercera ordre falla, i aquest és el comportament documentat, no un problema de permisos. La referència del mateix cmdlet indica que la categoria de domini no es pot assignar d’aquesta manera, perquè Windows la deriva de l’autenticació de domini. Veure l’error és una confirmació útil que la categoria és una conseqüència i no un paràmetre.

Llegiu la primera ordre al punt final el trànsit del qual està bloquejat. La classificació de la interfície de la pròpia passarel·la no diu res sobre com cada estació de treball ha classificat el seu túnel.

Les regles segueixen el perfil per al qual es van escriure

Un cop coneixeu la categoria, l’accés que falta normalment s’explica sol. Cada regla del tallafoc de Windows porta un abast de perfil, i una regla limitada al domini no s’aplica quan la interfície és pública. Tres ordres ho converteixen en una resposta i no en una teoria, i la tercera atrapa el cas en què el perfil no era mai el problema:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

La segona ordre és la que converteix un informe vague en una solució. Si la regla està limitada a un rang d’adreces remotes que no inclou el pool VPN, canviar el perfil tampoc no ajudarà.

Comproveu també l’acció d’entrada per defecte. En una màquina on l’entrada està bloquejada per defecte, una regla de permís absent produeix silenci en lloc d’un rebuig. Des del costat del client això sembla idèntic a un error d’encaminament, i per això tants d’aquests tiquets comencen amb la suposició equivocada.

Esbrineu quina màquina aplica la regla

Abans de canviar una categoria, establiu on es produeix el bloqueig. El servidor que allotja la carpeta compartida pot tenir el seu propi tallafoc, i les seves regles s’apliquen al trànsit que arriba del pool VPN independentment de com el client hagi etiquetat el seu adaptador. Un rebuig allà és invisible per a qualsevol ordre local que executeu, i el costat client només informa que el recurs no està disponible. Proveu les regles pròpies de la destinació abans de tocar la classificació del client.

Proveu des del client cap al port concret i compareu-ho amb una prova des d’un altre equip a la mateixa VPN. Si fallen totes dues, el problema és a la destinació o al camí. Si només en falla una, la diferència és local d’aquella màquina i la categoria del perfil es converteix en una causa plausible.

Tingueu present també la direcció. Una regla que permet SMB d’entrada no fa res per a un client la pròpia regla de sortida del qual bloqueja el mateix trànsit. Des d’una finestra d’explorador de fitxers les dues fallades són indistingibles, així que proveu cada direcció per separat abans d’editar res.

Què fer en lloc de reetiquetar-ho tot

Fer privada una xarxa no identificada per satisfer una regla àmplia és un canvi real amb conseqüències reals. El perfil privat normalment permet més descobriment i més trànsit d’entrada que el públic.

Si l’objectiu és que un servei concret arribi als clients VPN, limiteu la regla per adreça remota en lloc de per perfil. Això expressa la intenció amb precisió, funciona independentment de la classificació i no depèn que Windows encerti amb un adaptador virtual. També sobreviu a una actualització del client que reclasifiqui la interfície. Escriviu el pool dins la regla i la persona següent podrà llegir la intenció sense preguntar.

Si la categoria de domini és realment esperada i no apareix mai, això és una investigació a part. Comproveu que la màquina estigui unida al domini, que pugui arribar a un controlador de domini pel túnel i que el canal segur estigui sa. Aquestes tres ordres ho responen sense cap edició del registre:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Aquestes tres responen si el punt final podia haver autenticat la xarxa. Si no pot arribar a un controlador, la categoria de domini no s’assignarà mai, per moltes vegades que es reiniciï l’adaptador. La regla de tallafoc que perseguíeu no era mai el problema real, i l’etiqueta era un símptoma d’un camí trencat, no una causa.