Γιατί ο προσαρμογέας VPN μένει στο δημόσιο προφίλ του τείχους προστασίας
Η σύνδεση σε τομέα δεν χαρακτηρίζει το δίκτυο ως τομέα και το Ιδιωτικό δεν είναι υποκατάστατο. Διαβάστε το προφίλ του κανόνα και μετά το μηχάνημα που τον επιβάλλει.
Η σήραγγα είναι ενεργή, ο λογαριασμός έχει πιστοποιηθεί στον τομέα και τα Windows εξακολουθούν να χαρακτηρίζουν τη σύνδεση ως Δημόσια. Επομένως ένας κανόνας του τείχους προστασίας γραμμένος για το προφίλ τομέα δεν εφαρμόζεται και ο κοινόχρηστος φάκελος παραμένει μη προσβάσιμος. Η συνήθης απόπειρα διόρθωσης είναι να τεθεί ο προσαρμογέας σε Ιδιωτικό, κάτι που αλλάζει ποιοι κανόνες ισχύουν χωρίς να αλλάζει τίποτα στην πιστοποίηση. Και η ένδειξη και η διόρθωση παρεξηγούνται ευρέως, και ο διαχωρισμός τους απαιτεί τρεις εντολές.
Ο λογαριασμός που συνδέθηκε δεν είναι η κατηγορία του δικτύου
Κατά τη διάρκεια μιας σύνδεσης VPN λαμβάνονται δύο διαφορετικές αποφάσεις και είναι εύκολο να συγχωνευτούν. Η πύλη αποφασίζει αν ο λογαριασμός επιτρέπεται να συνδεθεί. Τα Windows αποφασίζουν πώς θα ταξινομηθεί το δίκτυο που προκύπτει, και αυτή η ταξινόμηση καθορίζει ποιοι κανόνες του τείχους προστασίας εφαρμόζονται στη διεπαφή.
Μια επιτυχής πιστοποίηση τομέα στην πύλη είναι απόδειξη για τον λογαριασμό. Δεν είναι απόδειξη ότι το τελικό σημείο πιστοποίησε το δίκτυο σε έναν ελεγκτή τομέα, και αυτό ακριβώς αντιπροσωπεύει η κατηγορία τομέα.
Γι’ αυτό ένα μηχάνημα μπορεί να είναι ενταγμένο σε τομέα, να συνδέεται με λογαριασμό τομέα και να εμφανίζει ακόμη Δημόσιο. Η ταξινόμηση είναι τοπικός προσδιορισμός για το δίκτυο, όχι δήλωση για τα διαπιστευτήρια που άνοιξαν τη σήραγγα. Ο λογαριασμός μπορεί να είναι απολύτως έγκυρος ενώ η ένδειξη μένει εκεί που ξεκίνησε.
Τρεις κατηγορίες, μία από τις οποίες δεν μπορείτε να ορίσετε
Τα Windows εκθέτουν τρεις κατηγορίες και μόνο δύο από αυτές μπορεί να εκχωρήσει ένας διαχειριστής. Την τρίτη την αποφασίζει το λειτουργικό σύστημα αφού πιστοποιήσει με επιτυχία το δίκτυο σε έναν ελεγκτή τομέα.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedΗ τρίτη εντολή αποτυγχάνει και αυτή είναι η τεκμηριωμένη συμπεριφορά, όχι πρόβλημα δικαιωμάτων. Η αναφορά της ίδιας της cmdlet αναφέρει ότι η κατηγορία τομέα δεν μπορεί να εκχωρηθεί με αυτόν τον τρόπο, επειδή τα Windows την παράγουν από την πιστοποίηση τομέα. Το να δείτε το σφάλμα είναι μια χρήσιμη επιβεβαίωση ότι η κατηγορία είναι συνέπεια και όχι ρύθμιση.
Διαβάστε την πρώτη εντολή στο τελικό σημείο του οποίου η κίνηση αποκλείεται. Η ταξινόμηση της ίδιας της διεπαφής της πύλης δεν σας λέει τίποτα για το πώς κάθε σταθμός εργασίας ταξινόμησε τη σήραγγά του.
Οι κανόνες ακολουθούν το προφίλ για το οποίο γράφτηκαν
Μόλις γνωρίζετε την κατηγορία, η ελλείπουσα πρόσβαση συνήθως εξηγείται μόνη της. Κάθε κανόνας του Windows Firewall φέρει εύρος προφίλ, και ένας κανόνας περιορισμένος στον τομέα δεν ισχύει όταν η διεπαφή είναι δημόσια. Τρεις εντολές το μετατρέπουν σε απάντηση αντί για θεωρία, και η τρίτη πιάνει την περίπτωση όπου το προφίλ δεν ήταν ποτέ το πρόβλημα:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionΗ δεύτερη εντολή είναι αυτή που μετατρέπει μια αόριστη αναφορά σε διόρθωση. Αν ο κανόνας περιορίζεται σε εύρος απομακρυσμένων διευθύνσεων που δεν περιλαμβάνει τη δεξαμενή VPN, ούτε η αλλαγή προφίλ θα βοηθήσει.
Ελέγξτε και την προεπιλεγμένη ενέργεια για εισερχόμενη κίνηση. Σε μηχάνημα όπου η εισερχόμενη κίνηση αποκλείεται από προεπιλογή, ένας απόν κανόνας επιτρεπτής κίνησης παράγει σιωπή αντί για απόρριψη. Από την πλευρά του πελάτη αυτό μοιάζει ίδιο με αποτυχία δρομολόγησης, και γι’ αυτό τόσα από αυτά τα δελτία ξεκινούν με λάθος υπόθεση.
Βρείτε ποιο μηχάνημα επιβάλλει τον κανόνα
Πριν αλλάξετε κατηγορία, καθορίστε πού συμβαίνει ο αποκλεισμός. Ο διακομιστής που φιλοξενεί τον κοινόχρηστο φάκελο μπορεί να έχει το δικό του τείχος προστασίας, και οι κανόνες του εφαρμόζονται στην κίνηση που φτάνει από τη δεξαμενή VPN ανεξάρτητα από το πώς ο πελάτης χαρακτήρισε τον προσαρμογέα του. Μια απόρριψη εκεί είναι αόρατη σε κάθε τοπική εντολή που εκτελείτε, και η πλευρά του πελάτη αναφέρει μόνο ότι ο πόρος δεν είναι διαθέσιμος. Δοκιμάστε τους κανόνες του προορισμού πριν αγγίξετε την ταξινόμηση του πελάτη.
Δοκιμάστε από τον πελάτη στη συγκεκριμένη θύρα και μετά συγκρίνετε με δοκιμή από άλλον υπολογιστή στο ίδιο VPN. Αν αποτύχουν και οι δύο, το πρόβλημα είναι στον προορισμό ή στη διαδρομή. Αν αποτύχει μόνο μία, η διαφορά είναι τοπική σε εκείνο το μηχάνημα και η κατηγορία προφίλ γίνεται πιθανή αιτία.
Έχετε υπόψη και την κατεύθυνση. Ένας κανόνας που επιτρέπει εισερχόμενο SMB δεν κάνει τίποτα για πελάτη του οποίου ο δικός του εξερχόμενος κανόνας αποκλείει την ίδια κίνηση. Από ένα παράθυρο εξερεύνησης αρχείων οι δύο αποτυχίες δεν διακρίνονται, γι’ αυτό δοκιμάστε κάθε κατεύθυνση χωριστά πριν επεξεργαστείτε οτιδήποτε.
Τι να κάνετε αντί να μετονομάσετε τα πάντα
Το να κάνετε ένα μη αναγνωρισμένο δίκτυο Ιδιωτικό για να ικανοποιήσετε έναν ευρύ κανόνα είναι πραγματική αλλαγή με πραγματικές συνέπειες. Το ιδιωτικό προφίλ συνήθως επιτρέπει περισσότερη ανακάλυψη και περισσότερη εισερχόμενη κίνηση από το δημόσιο.
Αν ο στόχος είναι μια συγκεκριμένη υπηρεσία να φτάνει στους πελάτες VPN, περιορίστε τον κανόνα κατά απομακρυσμένη διεύθυνση αντί κατά προφίλ. Αυτό εκφράζει την πρόθεση με ακρίβεια, λειτουργεί ανεξάρτητα από την ταξινόμηση και δεν εξαρτάται από το αν τα Windows μαντεύουν σωστά για έναν εικονικό προσαρμογέα. Επιβιώνει επίσης από μια ενημέρωση πελάτη που επαναταξινομεί τη διεπαφή. Γράψτε τη δεξαμενή στον κανόνα και ο επόμενος θα μπορεί να διαβάσει την πρόθεση χωρίς να ρωτήσει.
Αν η κατηγορία τομέα αναμένεται πραγματικά και δεν εμφανίζεται ποτέ, αυτό είναι ξεχωριστή έρευνα. Ελέγξτε ότι το μηχάνημα είναι ενταγμένο σε τομέα, ότι μπορεί να φτάσει έναν ελεγκτή τομέα μέσω της σήραγγας και ότι το ασφαλές κανάλι είναι υγιές. Αυτές οι τρεις εντολές το απαντούν χωρίς καμία επεξεργασία μητρώου:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comΑυτές οι τρεις απαντούν αν το τελικό σημείο μπορούσε καθόλου να πιστοποιήσει το δίκτυο. Αν δεν μπορεί να φτάσει έναν ελεγκτή, η κατηγορία τομέα δεν θα εκχωρηθεί ποτέ, όσες φορές κι αν γίνει επαναφορά του προσαρμογέα. Ο κανόνας του τείχους προστασίας που κυνηγούσατε δεν ήταν ποτέ το πραγματικό πρόβλημα, και η ένδειξη ήταν σύμπτωμα σπασμένης διαδρομής και όχι αιτία.