Οι πελάτες VPN μπλοκάρονται από το δημόσιο προφίλ του τείχους προστασίας των Windows

Η σήραγγά σας είναι ενεργή, η πύλη απαντά στο ping και η κοινόχρηστη διανομή αρχείων εξακολουθεί να λήγει σε χρονικό όριο. Αυτός ο συνδυασμός σπάνια είναι πρόβλημα δρομολόγησης: τα Windows έβαλαν το υποδίκτυο του προσαρμογέα VPN στο προφίλ Δημόσιο και κάθε κανόνας αποδοχής που γράφτηκε για Ιδιωτικό ή Τομέα δεν εφαρμόστηκε ποτέ. Το έχω συναντήσει σε φορητούς υπολογιστές που φτάνουν στο γραφείο χωρίς πρόβλημα και σε διακομιστές RRAS που εξυπηρετούν όλους τους άλλους πελάτες, και η επιδιόρθωση είναι σύντομη μόλις ονομάσετε το προφίλ που παίζει. Ακολουθεί η σειρά με την οποία εργάζομαι, με τον έλεγχο που σας λέει πότε να σταματήσετε πριν από το επόμενο βήμα.

Βρείτε σε ποιο προφίλ φτάνει πραγματικά η κίνηση

Το τείχος προστασίας των Windows δεν έχει μία ενιαία καθολική λειτουργία. Κάθε συνδεδεμένη διεπαφή φέρει μια κατηγορία και τα εισερχόμενα πακέτα φιλτράρονται με βάση την κατηγορία της διεπαφής από την οποία φτάνουν, άρα το προφίλ του προσαρμογέα VPN καθορίζει τι μπορεί να φτάσει ένας πελάτης στη σήραγγα, όχι ο προσαρμογέας Wi-Fi ή Ethernet δίπλα του. Διαβάστε και τα δύο δεδομένα πριν αλλάξετε οτιδήποτε:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

Σε μια τυπική εγκατάσταση OpenVPN ή WireGuard, ο προσαρμογέας VPN εμφανίζεται ως μη αναγνωρισμένο δίκτυο και καταλήγει στο Δημόσιο, που είναι η προεπιλογή για κάθε δίκτυο που τα Windows δεν μπορούν να ταξινομήσουν: κανένας ελεγκτής τομέα δεν απάντησε μέσω αυτού και κανένα προφίλ πύλης δεν ταίριαξε. Το όνομα της διεπαφής δεν έχει σημασία εδώ, οπότε το να ονομάσετε τον προσαρμογέα «VPN» ή «Corp» δεν αλλάζει τίποτα. Το DomainAuthenticated απαιτεί μηχάνημα ενωμένο στον τομέα , το οποίο μπορεί πραγματικά να φτάσει έναν ελεγκτή τομέα μέσω αυτής της διεπαφής· μια διαχωρισμένη σήραγγα που μεταφέρει ένα μόνο υποδίκτυο δεν θα το ικανοποιήσει.

Αν ο κανόνας που χρειάζεστε είναι ήδη περιορισμένος στη δεξαμενή VPN και εφαρμόζεται ήδη στην κατηγορία που μόλις διαβάσατε, σταματήστε εδώ: το φιλτράρισμα δεν είναι το επίπεδό σας και το επόμενο σημείο για έλεγχο είναι η διαμόρφωση της υπηρεσίας. Αυτός ο έλεγχος διαρκεί δέκα δευτερόλεπτα και εξοικονομεί μία ώρα επεξεργασίας κανόνων. Τα ονόματα των κατηγοριών και τι καλύπτει η καθεμία τεκμηριώνονται στην τεκμηρίωση αναφοράς του Get-NetConnectionProfile.

Επιβεβαιώστε το φιλτράρισμα, όχι τη δρομολόγηση, πριν επεξεργαστείτε κανόνες

Το ping είναι αδύναμο τεστ. Το ICMP μπορεί να περνά ενώ η θύρα της υπηρεσίας απορρίπτεται, και ένας κεντρικός υπολογιστής μπορεί να απαντά από το LAN ενώ αρνείται το ίδιο αίτημα μέσω της σήραγγας. Δοκιμάστε τη θύρα που χρειάζεται ο πελάτης, από τον πελάτη:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Αν η δοκιμή θύρας αποτύχει, διαχωρίστε τα δύο επίπεδα. Μια βλάβη σήραγγας ή διαδρομής εμφανίζεται συνήθως ως καμία απάντηση από τη διεύθυνση της πύλης, ενώ μια απόρριψη από το τείχος προστασίας δείχνει μια πύλη που απαντά και μια θύρα υπηρεσίας που δεν απαντά. Σε έναν διακομιστή Windows που δημοσιεύει τη δεξαμενή μέσω RRAS, εκτελέστε την ίδια δοκιμή από έναν πελάτη και διαβάστε το προφίλ του ίδιου του διακομιστή: η διεπαφή RAS μπορεί να βρίσκεται σε μια κατηγορία της οποίας οι κανόνες εισερχομένων δεν αναφέρουν ποτέ το εύρος των πελατών, και γι' αυτό το μηχάνημα εξυπηρετεί το LAN του και αρνείται κάθε πελάτη στη σήραγγα.

Όταν το αποτέλεσμα είναι ακόμη διφορούμενο, καταγράψτε τις απορρίψεις για το προφίλ που παίζει και διαβάστε τις:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Οι εγγραφές που ονομάζουν τη διεύθυνση και τη θύρα του πελάτη με DROP είναι οριστικές και σας λένε επίσης ποιος κανόνας έλειπε. Ένα αρχείο καταγραφής χωρίς τίποτα, ενώ το SYN του πελάτη δεν εμφανίζεται ποτέ, δείχνει πριν από τον κεντρικό υπολογιστή, οπότε επιστρέψτε στη σήραγγα, στον κανόνα NAT ή στη διαδρομή της δεξαμενής πριν αγγίξετε άλλο αντικείμενο του τείχους προστασίας.

Περιορίστε έναν κανόνα εισερχομένων στη δεξαμενή πελατών

Η επιδιόρθωση είναι ένας κανόνας αποδοχής εισερχομένων του οποίου η απομακρυσμένη διεύθυνση είναι η δεξαμενή, όχι ολόκληρος ο κόσμος. Από μια αναβαθμισμένη συνεδρία:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Όταν η υπηρεσία είναι ένα μόνο δυαδικό αρχείο, προτιμήστε έναν κανόνα περιορισμένο στο πρόγραμμα με -Program αντί για μια λίστα θυρών· αυτό περιορίζει την εξαίρεση και στη διεργασία και στο εύρος πηγής.

Η επιλογή προφίλ είναι το σημείο όπου το ίδιο λάθος γίνεται προς την αντίθετη κατεύθυνση. -Profile Public αρκεί όταν ο προσαρμογέας είναι Δημόσιος και παραμένει Δημόσιος. -Profile Any είναι υπερασπίσιμο όταν η υπηρεσία πρέπει να λειτουργεί ανεξάρτητα από το πώς τα Windows ταξινομούν τον προσαρμογέα, αλλά μόνο όσο το απομακρυσμένο εύρος παραμένει. Αυτό που δεν είναι ποτέ υπερασπίσιμο είναι -RemoteAddress Any στο προφίλ Δημόσιο: αυτός ο κανόνας ακολουθεί τον φορητό υπολογιστή σε κάθε δίκτυο καφετέριας και ξενοδοχείου στο οποίο συνδέεται και ανοίγει τη θύρα σε όποιον μοιράζεται αυτό το υποδίκτυο.

Σημειώστε τη δεξαμενή δίπλα στον κανόνα. -RemoteAddress 10.8.0.0/24 σταματά σιωπηλά να ταιριάζει την ημέρα που η δεξαμενή VPN αριθμείται εκ νέου, και η βλάβη μοιάζει ακριβώς με το αρχικό σφάλμα, γι' αυτό κοστίζει ένα δεύτερο απόγευμα. Ονομάστε τους κανόνες από την υπηρεσία και το εύρος πηγής, κρατήστε τους μαζί με -Group, και ξαναδιαβάστε τους όποτε αλλάζει ο ορισμός της δεξαμενής. Ένα ευρετήριο κανόνων που μπορείτε να ελέγξετε σε μία οθόνη αξίζει περισσότερο από έναν σωστό κανόνα που κανείς δεν βρίσκει.

Αλλάξτε την κατηγορία μόνο όταν η κατηγορία είναι η απόφαση

Η αλλαγή της διεπαφής σε Ιδιωτικό λειτουργεί επίσης, και είναι η λάθος προεπιλογή. Το προφίλ Ιδιωτικό φέρει έναν μακρύ κατάλογο ενσωματωμένων κανόνων αποδοχής, που καλύπτουν κοινή χρήση αρχείων και εκτυπωτών, ανακάλυψη δικτύου, απομακρυσμένη επιφάνεια εργασίας και περισσότερα ανάλογα με τη βάση, οπότε η επαναταξινόμηση του προσαρμογέα VPN τους ενεργοποιεί όλους για κάθε πελάτη στη σήραγγα ταυτόχρονα. Ένας περιορισμένος κανόνας παραχωρεί μία υπηρεσία σε ένα εύρος. Σε έναν φορητό υπολογιστή που συνδέεται και σε μη αξιόπιστα δίκτυα, αυτή η διαφορά δεν είναι καλλωπιστική.

Υπάρχουν περιπτώσεις όπου η ταξινόμηση είναι πραγματικά λανθασμένη: μια πάντα ενεργή σήραγγα ή σήραγγα μεταξύ τοποθεσιών που μεταφέρει υποδίκτυο γραφείου είναι αξιόπιστη υποδομή, και το να χαρακτηρίσετε αυτόν τον προσαρμογέα Ιδιωτικό είναι μια νόμιμη σχεδιαστική επιλογή, που λαμβάνεται μία φορά με πολιτική και όχι ανά αίτημα. Όταν την κάνετε, κάντε την ρητά:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Σε μια διαχειριζόμενη συσκευή, ελέγξτε πρώτα αν η ρύθμιση ανήκει σε πολιτική ομάδας ή σε βάση MDM. Αν ανήκει, η τοπική αλλαγή αναιρείται στην επόμενη ανανέωση και gpresult /h θα ονομάσει την πολιτική που την κατέχει· διορθώστε το εκεί, όχι στο τελικό σημείο.

Επαληθεύστε και από τα δύο άκρα και αφήστε ίχνος

Επαληθεύστε τη ροή που ανέφερε ο χρήστης, από τον πελάτη, μετά την αλλαγή:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Στη συνέχεια κλείστε τον κύκλο στα πράγματα που θα σπάσουν την επόμενη εβδομάδα. Επανεκκινήστε τον κεντρικό υπολογιστή και επαναλάβετε τη δοκιμή, γιατί ένας κανόνας περιορισμένος στο λάθος προφίλ συνεχίζει να λειτουργεί έως ότου ο προσαρμογέας επιστρέψει σε άλλη κατηγορία. Δοκιμάστε από δεύτερο πελάτη, αφού ένας πελάτης με παλιά μίσθωση μπορεί να κρύψει μια αναντιστοιχία της δεξαμενής. Μετρήστε τους κανόνες που προσθέσατε έναντι αυτών που αφαιρέσατε, γιατί οι επικαλυπτόμενες εξαιρέσεις είναι ο τρόπος με τον οποίο μια διόρθωση δύο γραμμών γίνεται πολιτική φιλτραρίσματος που κανείς δεν μπορεί να ελέγξει.

Πριν το θεωρήσετε ολοκληρωμένο:

• Το προφίλ που αναφέρεται στον κανόνα είναι το προφίλ της διεπαφής από την οποία φτάνει η κίνηση.
• Το απομακρυσμένο εύρος είναι η δεξαμενή VPN, και αυτή η δεξαμενή αντιστοιχεί σε αυτό που πραγματικά διανέμει ο διακομιστής.
• Κανένας κανόνας που προσθέσατε δεν χρησιμοποιεί -RemoteAddress Any στο προφίλ Δημόσιο.
• Τίποτα δεν απενεργοποιήθηκε για να περάσει η δοκιμή, και κάθε αλλαγή κατηγορίας καταγράφει ποιος την ενέκρινε.