Miks teie VPN-i adapter jääb avalikku tulemüüri profiili
Domeeni sisselogimine ei liigita võrku domeeniks ja Privaatne ei ole asendus. Lugege reegli profiili ja seejärel masinat, mis seda rakendab.
Tunnel on üleval, konto on domeeni vastu autenditud ja Windows märgib ühenduse ikkagi avalikuks. Seetõttu ei rakendu domeeni profiili jaoks kirjutatud tulemüürireegel ja failijagamine jääb kättesaamatuks. Tavaline paranduskatse on seada adapter privaatseks, mis muudab seda, millised reeglid kehtivad, ilma autentimises midagi muutmata. Nii silt kui ka parandus on laialt valesti mõistetud ja nende eristamine nõuab kolme käsku.
Sisseloginud konto ei ole võrgu kategooria
VPN-ühenduse ajal tehakse kaks erinevat otsust ja neid on lihtne segi ajada. Lüüs otsustab, kas kontol on lubatud ühenduda. Windows otsustab, kuidas tekkivat võrku liigitada, ja see liigitus määrab, millised tulemüürireeglid liidesele rakenduvad.
Edukas domeeni autentimine lüüsil on tõend konto kohta. See ei ole tõend, et lõpp-punkt on võrgu domeenikontrolleri vastu autentinud, ja just seda domeeni kategooria tähistab.
Seetõttu võib masin olla domeeniga liidetud, ühenduda domeenikontoga ja näidata ikkagi avalikku. Liigitus on kohalik otsus võrgu kohta, mitte väide tunneli avanud volituste kohta. Konto võib olla täiesti kehtiv, samal ajal kui silt jääb sinna, kus see algas.
Kolm kategooriat, millest ühte te määrata ei saa
Windows pakub kolme kategooriat ja administraator saab määrata neist ainult kahte. Kolmanda otsustab operatsioonisüsteem pärast seda, kui on võrgu domeenikontrolleri vastu edukalt autentinud.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedKolmas käsk ebaõnnestub ja see on dokumenteeritud käitumine, mitte õiguste probleem. Käsu enda viide märgib, et domeeni kategooriat ei saa sel viisil määrata, sest Windows tuletab selle domeeni autentimisest. Vea nägemine on kasulik kinnitus, et kategooria on tagajärg, mitte säte.
Lugege esimest käsku selle lõpp-punkti juures, mille liiklus on blokeeritud. Lüüsi enda liidese liigitus ei ütle teile midagi selle kohta, kuidas iga ühenduv tööjaam oma tunnelit liigitas.
Reeglid järgivad profiili, mille jaoks need kirjutati
Kui kategooria on teada, seletab puuduv juurdepääs end tavaliselt ise. Iga Windows Firewalli reegel kannab profiili ulatust ja domeenile piiratud reegel ei kehti, kui liides on avalik. Kolm käsku muudavad selle vastuseks, mitte teooriaks, ja kolmas tabab juhtu, kus profiil ei olnud kunagi probleem:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionTeine käsk on see, mis muudab ebamäärase aruande paranduseks. Kui reegel on piiratud kaugadresside vahemikuga, mis ei sisalda VPN-i pooli, ei aita ka profiili muutmine.
Kontrollige ka sissetuleva liikluse vaikekäitumist. Masinas, kus sissetulev liiklus on vaikimisi blokeeritud, tekitab puuduv lubamisreegel vaikuse, mitte tagasilükkamise. Kliendi poolelt näeb see välja täpselt nagu marsruutimise tõrge ja seetõttu algavad paljud sellised piletid vale eeldusega.
Tehke kindlaks, milline masin reeglit rakendab
Enne kategooria muutmist tehke kindlaks, kus blokeerimine toimub. Serveril, mis jagamist majutab, võib olla oma tulemüür, ja selle reeglid kehtivad VPN-i poolist saabuvale liiklusele sõltumata sellest, kuidas klient oma adapterit nimetas. Sealne tagasilükkamine on nähtamatu iga kohaliku käsu jaoks, mida käivitate, ja kliendi pool teatab ainult, et ressurss ei ole saadaval. Testige sihtkoha enda reegleid enne, kui puudutate kliendi liigitust.
Testige kliendist konkreetse pordini ja võrrelge siis testiga teisest hostist samas VPN-is. Kui mõlemad ebaõnnestuvad, on probleem sihtkohas või teekonnal. Kui ebaõnnestub ainult üks, on erinevus selle masina kohalik ja profiili kategooriast saab tõenäoline põhjus.
Pidage silmas ka suunda. Reegel, mis lubab sissetulevat SMB-d, ei tee midagi kliendi jaoks, mille enda väljuv reegel blokeerib sama liikluse. Failihalduri aknast ei ole need kaks tõrget eristatavad, seega testige kumbagi suunda eraldi enne millegi muutmist.
Mida teha selle asemel, et kõike ümber nimetada
Tuvastamata võrgu privaatseks muutmine laia reegli rahuldamiseks on tõeline muudatus tõeliste tagajärgedega. Privaatne profiil lubab tavaliselt rohkem avastamist ja rohkem sissetulevat liiklust kui avalik.
Kui eesmärk on lasta konkreetsel teenusel VPN-i klientideni jõuda, piirake reeglit kaugadressi, mitte profiili järgi. See väljendab kavatsust täpselt, töötab sõltumata liigitusest ega sõltu sellest, kas Windows arvab virtuaalse adapteri õigesti. See peab vastu ka kliendi uuendusele, mis liidese ümber liigitab. Kirjutage pool reeglisse ja järgmine inimene saab kavatsust lugeda ilma küsimata.
Kui domeeni kategooriat tõesti oodatakse ja see ei ilmu kunagi, on see eraldi uurimine. Kontrollige, kas masin on domeeniga liidetud, kas see jõuab tunnelist domeenikontrollerini ja kas turvaline kanal on terve. Need kolm käsku vastavad sellele ilma ühegi registrimuudatuseta:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comNeed kolm vastavad, kas lõpp-punkt oleks võrku üldse autentida saanud. Kui see ei jõua kontrollerini, ei määrata domeeni kategooriat kunagi, ükskõik kui mitu korda adapterit lähtestatakse. Tulemüürireegel, mida taga ajasite, ei olnud kunagi tegelik probleem, ja silt oli katkise tee sümptom, mitte põhjus.