Clybiaid VPN yn cael eu blocio gan broffil Cyhoeddus firewall Windows

Mae eich twnnel i fyny, mae'r giât yn ateb ping, ac mae'r rhannu ffeiliau'n dal i amseru allan. Anaml y mae'r cyfuniad hwnnw'n broblem llwybro: mae Windows wedi rhoi isrwyd y addasydd VPN yn y proffil Cyhoeddus, ac ni chafodd unrhyw reol caniatáu a ysgrifennwyd ar gyfer Preifat neu Barth ei chymhwyso erioed. Rwyf wedi gweld hyn ar liniaduron sy'n cyrraedd y swyddfa'n iawn ac ar weinyddion RRAS sy'n gwasanaethu pob cleient arall, ac mae'r atgyweiriad yn fyr unwaith y byddwch yn enwi'r proffil sydd dan sylw. Dyma'r drefn yr wyf yn gweithio ynddi, gyda'r gwiriad sy'n dweud wrthych pryd i stopio cyn y cam nesaf.

Canfyddwch ar ba broffil y mae'r traffig yn cyrraedd mewn gwirionedd

Nid oes gan firewall Windows un modd byd-eang. Mae gan bob rhyngwyneb cysylltiedig gategori, a chedwir pecynnau sy'n dod i mewn yn erbyn categori'r rhyngwyneb y maent yn cyrraedd arno, felly proffil yr addasydd VPN sy'n penderfynu beth y gall cleient yn y twnnel ei gyrraedd, nid yr addasydd Wi-Fi neu Ethernet wrth ei ymyl. Darllenwch y ddau ffaith cyn newid unrhyw beth:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

Mewn gosodiad safonol o OpenVPN neu WireGuard, mae'r addasydd VPN yn ymddangos fel rhwydwaith nas adnabyddir ac yn glanio yng Nghyhoeddus, sef y rhagosodiad ar gyfer unrhyw rwydwaith na all Windows ei ddosbarthu: ni atebodd unrhyw reolydd parth drosto ac ni chyfatebodd unrhyw broffil giât. Nid yw enw'r rhyngwyneb yn berthnasol yma, felly nid yw galw'r addasydd yn "VPN" neu'n "Corp" yn newid dim. Mae DomainAuthenticated angen peiriant sydd wedi ymuno â'r parth a all gyrraedd rheolydd parth dros y rhyngwyneb hwnnw mewn gwirionedd; ni fydd twnnel hollt sy'n cario un isrwyd yn bodloni hynny.

Os yw'r rheol sydd ei hangen arnoch eisoes wedi'i chyfyngu i bwll VPN ac eisoes yn gymwys i'r categori a ddarllenoch, stopiwch yma: nid hidlo yw eich haen, a'r man nesaf i edrych yw cyfluniad y gwasanaeth. Mae'r gwiriad hwnnw'n cymryd deg eiliad ac yn arbed awr o olygu rheolau. Mae enwau'r categorïau a'r hyn y mae pob un yn ei gwmpasu wedi'u dogfennu yn y cyfeirlyfr Get-NetConnectionProfile.

Cadarnhewch hidlo, nid llwybro, cyn i chi olygu rheolau

Mae ping yn brawf gwan. Gall ICMP basio tra bo porth y gwasanaeth yn cael ei ollwng, a gall gwesteiwr ateb o'r LAN tra'n gwrthod yr un cais dros y twnnel. Profwch y porth sydd ei angen ar y cleient, o'r cleient:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Os bydd'r prawf porth yn methu, gwahanwch y ddwy haen. Mae nam twnnel neu lwybr fel arfer yn ymddangos fel dim ateb o gyfeiriad y giât o gwbl, tra bo gollyngiad firewall yn dangos giât sy'n ateb a phorth gwasanaeth nad yw'n ateb. Ar weinydd Windows sy'n cyhoeddi'r pwll trwy RRAS, rhedwch yr un prawf o gleient a darllenwch broffil y gweinydd ei hun: gall y rhyngwyneb RAS eistedd mewn categori nad yw ei reolau sy'n dod i mewn byth yn sôn am yr amrywiaeth cleientiaid, a dyna pam mae'r blwch yn gwasanaethu ei LAN ac yn gwrthod pob cleient yn y twnnel.

Pan fo'r canlyniad yn dal yn amwys, cofnodwch y gollyngiadau ar gyfer y proffil sydd dan sylw a'u darllen:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Mae cofnodion sy'n enwi cyfeiriad a phorth y cleient gyda DROP yn bendant, ac maent hefyd yn dweud wrthych pa reol oedd ar goll. Mae log heb ddim ynddo tra nad yw SYN y cleient byth yn ymddangos yn tynnu sylw at rywbeth o flaen y gwesteiwr, felly dychwelwch at y twnnel, y rheol NAT neu lwybr y pwll cyn cyffwrdd ag unrhyw wrthrych firewall arall.

Cyfyngwch un rheol fewnol i bwll y cleientiaid

Un rheol ganiatáu fewnol yw'r atgyweiriad, a'i chyfeiriad pell yw'r pwll, nid y byd i gyd. O sesiwn uwch:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Pan fo'r gwasanaeth yn un ffeil ddeuaidd, dewiswch reol wedi'i chyfyngu i raglen gyda -Program yn lle rhestr o borthladdoedd; mae hynny'n cyfyngu'r eithriad i'r broses yn ogystal ag i'r amrywiaeth ffynhonnell.

Dewis proffil yw'r man lle gwneir yr un camgymeriad i'r cyfeiriad arall. -Profile Public yn ddigon pan fo'r addasydd yn Gyhoeddus ac yn aros yn Gyhoeddus. -Profile Any yn amddiffynadwy pan fo'r gwasanaeth yn gorfod gweithio waeth pa mor mae Windows yn dosbarthu'r addasydd, ond dim ond tra bo'r maes pell yn aros. Yr hyn nad yw byth yn amddiffynadwy yw -RemoteAddress Any ar gyfer y proffil Cyhoeddus: mae'r rheol honno'n dilyn y liniadur i bob rhwydwaith caffi a gwesty y mae'n ymuno ag ef ac yn agor y porth i bwy bynnag sy'n rhannu'r isrwyd honno.

Cofnodwch y pwll wrth ymyl y rheol. -RemoteAddress 10.8.0.0/24 yn dawel yn rhoi'r gorau i gyfateb y diwrnod y bydd pwll VPN yn cael ei ailrifo, ac mae'r fethiant yn edrych yn union fel y nam gwreiddiol, a dyna pam mae'n costio ail brynhawn. Enwch reolau ar ôl y gwasanaeth a'r amrywiaeth ffynhonnell, cadwch hwy gyda'i gilydd gyda -Group, a'u hail-ddarllen pryd bynnag y bydd diffiniad y pwll yn newid. Mae rhestr reolau y gallwch ei harchwilio ar un sgrin yn well na rheol gywir na all neb ei chanfod.

Newidiwch y categori dim ond pan fo'r categori yn y penderfyniad

Mae troi'r rhyngwyneb i Preifat hefyd yn gweithio, a dyna'r rhagosodiad anghywir. Mae'r proffil Preifat yn cario rhestr hir o reolau caniatáu adeiledig, yn cwmpasu rhannu ffeiliau a phrintwyr, darganfod rhwydwaith, bwrdd gwaith pell a mwy yn dibynnu ar y llinell sylfaen, felly mae ailddosbarthu'r addasydd VPN yn galluogi pob un ohonynt ar gyfer pob cleient yn y twnnel ar unwaith. Mae un rheol gyfyngedig yn rhoi un gwasanaeth i un amrywiaeth. Ar liniadur sy'n ymuno â rhwydweithiau annibynadwy hefyd, nid yw'r gwahaniaeth hwnnw'n gosmetig.

Mae yna achosion lle mae'r dosbarthiad yn wirioneddol anghywir: mae twnnel bob amser ymlaen neu safle-i-safle sy'n cario isrwyd swyddfa yn seilwaith ymddiriedig, ac mae marcio'r addasydd hwnnw'n Preifat yn ddewis dylunio dilys a wneir unwaith gan bolisi, nid fesul tocyn. Pan fyddwch yn ei wneud, gwnewch hynny'n eglur:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Ar ddyfais a reolir, gwiriwch yn gyntaf a yw Polisi Grŵp neu linell sylfaen MDM yn berchen ar y gosodiad. Os ydyw, bydd y newid lleol yn cael ei ddadwneud ar yr adnewyddiad nesaf, a gpresult /h bydd yn enwi'r polisi sy'n berchen arno; trwsiwch o yno, nid ar y pwynt diwedd.

Dilyswch o'r ddau ben a gadewch lwybr

Dilyswch y llif a adroddwyd gan y defnyddiwr, o'r cleient, ar ôl y newid:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Yna cau'r ddolen ar y pethau a fydd yn torri'r wythnos nesaf. Ailgychwynnwch y gwesteiwr ac ailbrofwch, oherwydd bod rheol a gyfyngwyd i'r proffil anghywir yn parhau i weithio nes bod yr addasydd yn dod yn ôl mewn categori arall. Profwch o ail gleient, gan fod un cleient â les wedi dyddio yn gallu cuddio anghysondeb pwll. Cyfrifwch y rheolau a ychwanegoch yn erbyn y rhai a dynnoch, oherwydd eithriadau sy'n gorgyffwrdd yw'r ffordd y mae trwsgwl dwy linell yn troi'n bolisi hidlo na all neb ei adolygu.

Cyn i chi ei alw'n gyflawn:

• Y proffil a enwir yn y rheol yw'r proffil ar y rhyngwyneb y mae'r traffig yn cyrraedd arno.
• Y maes pell yw pwll VPN, ac mae'r pwll hwnnw'n cyfateb i'r hyn y mae'r gweinydd yn ei ddosbarthu mewn gwirionedd.
• Nid oes unrhyw reol a ychwanegoch yn defnyddio -RemoteAddress Any ar y proffil Cyhoeddus.
• Ni analluogwyd dim i wneud i'r prawf basio, ac mae unrhyw newid categori yn cofnodi pwy a'i cymeradwyodd.