Pam mae eich addasydd VPN yn aros ar broffil wal dân cyhoeddus

Mae’r twnnel yn gweithio, mae’r cyfrif wedi dilysu drwy’r parth, ac mae Windows yn dal i labelu’r cysylltiad fel Cyhoeddus. Felly nid yw rheol wal dân a ysgrifennwyd ar gyfer proffil parth yn berthnasol, ac mae’r rhannu ffeil yn parhau’n anghyraeddadwy. Yr ymgais arferol i drwsio yw gosod yr addasydd i Preifat, sy’n newid pa reolau sy’n berthnasol heb newid dim am ddilysu. Mae’r label a’r datrysiad ill dau yn cael eu camddeall yn eang, ac mae eu gwahanu yn gofyn am dair gorchymyn.

Nid y cyfrif a ddaeth i mewn yw categori’r rhwydwaith

Mae dau benderfyniad gwahanol yn digwydd yn ystod cysylltiad VPN ac mae’n hawdd eu cymysgu. Mae’r giât yn penderfynu a all y cyfrif gysylltu. Mae Windows yn penderfynu sut i ddosbarthu’r rhwydwaith sy’n deillio, ac mae’r dosbarthiad hwnnw’n pennu pa reolau wal dân sy’n berthnasol i’r rhyngwyneb.

Mae dilysu parth llwyddiannus yn y giât yn dystiolaeth am y cyfrif. Nid yw’n dystiolaeth bod y pen draw wedi dilysu’r rhwydwaith yn erbyn rheolydd parth, a dyna’n union y mae categori parth yn ei gynrychioli.

Dyna pam y gall peiriant fod wedi’i ymuno â pharth, cysylltu â chyfrif parth, a dangos Cyhoeddus o hyd. Mae’r dosbarthiad yn benderfyniad lleol am y rhwydwaith, nid yn ddatganiad am y manylion mewngofnodi a agorodd y twnnel. Gall y cyfrif fod yn gwbl ddilys tra bo’r label yn aros lle y dechreuodd.

Tri chategori, un na allwch ei gosod

Mae Windows yn cynnig tri chategori a dim ond dau ohonynt y gall gweinyddwr eu neilltuo. Mae’r trydydd yn cael ei benderfynu gan y system weithredu ar ôl iddi ddilysu’r rhwydwaith yn llwyddiannus yn erbyn rheolydd parth.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Mae’r trydydd gorchymyn yn methu, a dyna’r ymddygiad a ddogfenwyd yn hytrach na phroblem caniatâd. Mae cyfeirlyfr y cmdlet ei hun yn nodi na ellir neilltuo categori parth fel hyn, oherwydd bod Windows yn ei ddeillio o ddilysu parth. Mae gweld y gwall yn gadarnhad defnyddiol mai canlyniad yw’r categori, nid gosodiad.

Darllenwch y gorchymyn cyntaf ar y pen draw y mae ei draffig yn cael ei rwystro. Nid yw dosbarthiad rhyngwyneb y giât ei hun yn dweud dim wrthych am sut y dosbarthodd pob gorsaf waith ei thwnnel.

Mae rheolau’n dilyn y proffil y cawsant eu hysgrifennu ar ei gyfer

Unwaith y byddwch yn gwybod y categori, mae’r mynediad coll fel arfer yn esbonio ei hun. Mae gan bob rheol Windows Firewall gwmpas proffil, ac nid yw rheol sydd wedi’i chyfyngu i barth yn berthnasol pan fo’r rhyngwyneb yn gyhoeddus. Mae tair gorchymyn yn troi hynny’n ateb yn hytrach na damcaniaeth, ac mae’r drydedd yn dal yr achos lle nad oedd y proffil byth yn broblem:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Yr ail orchymyn yw’r un sy’n troi adroddiad annelwig yn atgyweiriad. Os yw’r rheol wedi’i chyfyngu i ystod cyfeiriadau o bell nad yw’n cynnwys cronfa VPN, ni fydd newid y proffil yn helpu chwaith.

Gwiriwch y weithred fewnol ddiofyn hefyd. Ar beiriant lle mae traffig sy’n dod i mewn yn cael ei rwystro yn ddiofyn, mae rheol ganiatáu ar goll yn cynhyrchu distawrwydd yn hytrach na chwrthodiad. O safbwynt y cleient mae hynny’n edrych yn union yr un fath â methiant llwybro, a dyna pam mae cymaint o’r tocynnau hyn yn dechrau gyda’r dybiaeth anghywir.

Canfyddwch pa beiriant sy’n gorfodi’r rheol

Cyn newid categori, sefwch ble mae’r blocio’n digwydd. Gall y gweinydd sy’n cynnal y rhannu fod â’i wal dân ei hun, ac mae ei reolau’n berthnasol i’r traffig sy’n dod o’r gronfa VPN waeth sut y labelodd y cleient ei addasydd. Mae cwrthodiad yno’n anweledig i bob gorchymyn lleol a redegwch, a’r ochr cleient ond yn adrodd bod yr adnodd yn anghyraeddadwy. Profwch reolau’r gyrchfan ei hun cyn i chi gyffwrdd â dosbarthiad y cleient.

Profwch o’r cleient i’r porth penodol, yna cymharwch â phrawf o letywr arall ar yr un VPN. Os yw’r ddau’n methu, mae’r broblem yn y gyrchfan neu ar y llwybr. Os mai dim ond un sy’n methu, mae’r gwahaniaeth yn lleol i’r peiriant hwnnw, ac mae categori’r proffil yn dod yn achos tebygol.

Cadwch y cyfeiriad mewn cof hefyd. Nid yw rheol sy’n caniatáu SMB sy’n dod i mewn yn gwneud dim i gleient y mae ei reol allan yn rhwystro’r un traffig. O ffenestr archwilydd ffeiliau mae’r ddau fethiant yn anwahanadwy, felly profwch bob cyfeiriad ar wahân cyn golygu unrhyw beth.

Beth i’w wneud yn lle ail-labelu popeth

Mae gwneud rhwydwaith heb ei adnabod yn Breifat i fodloni rheol eang yn newid real â chanlyniadau real. Mae’r proffil preifat fel arfer yn caniatáu mwy o ddarganfod a mwy o draffig sy’n dod i mewn na’r un cyhoeddus.

Os mai’r nod yw gadael i wasanaeth penodol gyrraedd cleientiaid VPN, cyfyngwch y rheol yn ôl cyfeiriad o bell yn hytrach nag yn ôl proffil. Mae hynny’n mynegi’r bwriad yn fanwl, yn gweithio waeth beth yw’r dosbarthiad, ac nid yw’n dibynnu ar Windows yn dyfalu’n gywir am addasydd rhithwir. Mae hefyd yn goroesi diweddariad cleient sy’n ailddosbarthu’r rhyngwyneb. Ysgrifennwch y gronfa yn y rheol a bydd y person nesaf yn gallu darllen y bwriad heb ofyn.

Os yw categori parth yn cael ei ddisgwyl o ddifrif ac yn peidio â ymddangos byth, mae hynny’n ymchwiliad ar wahân. Gwiriwch fod y peiriant wedi’i ymuno â pharth, ei fod yn gallu cyrraedd rheolydd parth dros y twnnel, a bod y sianel ddiogel yn iach. Mae’r tair gorchymyn hynny’n ateb hynny heb unrhyw olygiad cofrestru:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Mae’r tri hynny’n ateb a allai’r pen draw ddilysu’r rhwydwaith o gwbl. Os na all gyrraedd rheolydd, ni neilltuir categori parth byth, faint bynnag o weithiau y bydd yr addasydd yn cael ei ailosod. Nid y rheol wal dân yr oeddech yn ei hel oedd y gwir broblem erioed, ac roedd y label yn symptom o lwybr wedi torri yn hytrach nag yn achos.