Zergatik geratzen den zure VPN egokitzailea suebakien profil publikoan
Domeinu batean saioa hasten duzunean sareak ez du domeinu gisa sailkatzen, eta Pribatua ez da ordezko bat. Irakurri arauaren profila eta, gero, hura betearazten duen makina.
Tunela martxan dago, kontua domeinuaren aurka autentifikatu da, eta Windowsek konexioa Publiko gisa etiketatzen du oraindik. Beraz, domeinu-profilarentzat idatzitako suebaki-araua ez da aplikatzen, eta partekatutako karpeta eskuraezin jarraitzen du. Konponketa-saiakera ohikoa egokitzailea Pribatu gisa jartzea da, eta horrek zein arau aplikatuko diren aldatzen du, autentifikazioan ezer aldatu gabe. Bai etiketa bai konponketa gaizki ulertuta daude zabal, eta haiek banatzeko hiru komando behar dira.
Konektatu den kontua ez da sarearen kategoria
VPN konexio batean bi erabaki desberdin hartzen dira, eta erraza da haiek nahastea. Ateak erabakitzen du kontua konektatzen ahal den. Windowsek erabakitzen du nola sailkatu sortutako sarea, eta sailkapen horrek zehazten du zein suebaki-arau aplikatzen zaizkion interfazeari.
Atean egindako domeinu-autentifikazio arrakastatsua kontuaren inguruko froga da. Ez da froga amaierako puntuak sarea domeinu-kontrolagailu baten aurka autentifikatu duenik, eta hori da, hain zuzen, domeinu-kategoriak adierazten duena.
Horregatik makin bat domeinuari lotuta egon, domeinu-kontu batekin konektatu eta hala ere Publiko erakuts dezake. Sailkapena sareari buruzko tokiko zehaztapena da, ez tunela ireki zuten kredentzialen inguruko adierazpena. Kontua erabat baliozkoa izan daiteke etiketa hasi zen tokian geratzen den bitartean.
Hiru kategoria, eta horietako bat ezin duzu ezarri
Windowsek hiru kategoria erakusten ditu, eta administratzaile batek horietako bi baino ezin ditu esleitu. Hirugarrena sistema eragileak erabakitzen du, sarea domeinu-kontrolagailu baten aurka behar bezala autentifikatu ondoren.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedHirugarren komandoak huts egiten du, eta hori dokumentatutako jokabidea da, ez baimen-arazoa. Komandoaren beraren erreferentziak dio domeinu-kategoria ezin dela horrela esleitu, Windowsek domeinu-autentifikaziotik eratortzen duelako. Errorea ikustea baieztapen erabilgarria da: kategoria ondorioa da, ez ezarpena.
Irakurri lehen komandoa blokeatutako trafikoa duen amaierako puntuan. Atearen interfazearen sailkapenak ez dio ezer esaten konektatzen den lan-estazio bakoitzak nola sailkatu zuen bere tunela.
Arrauek idatzi ziren profila jarraitzen dute
Kategoria jakinda, falta den sarbideak bere burua argitzen du normalean. Windows Firewall arau bakoitzak profil-esparrua du, eta domeinura mugatutako araua ez da aplikatzen interfazea publikoa denean. Hiru komandok erantzun bihurtzen dute teoria baino, eta hirugarrenak profila inoiz arazoa izan ez zen kasua harrapatzen du:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionBigarren komandoa da txosten lausoa konponketa bihurtzen duena. Araua VPN igerilekua barne hartzen ez duen urruneko helbide-tarte batera mugatuta badago, profilaren aldaketak ere ez du lagunduko.
Egiaztatu sarrerako ekintza lehenetsia ere. Sarrera lehenespenez blokeatuta dagoen makin batean, falta den baimen-arauak isiltasuna sortzen du, ukatzea beharrean. Bezeroaren aldetik identiko dirudi bideratze-hutsegiteekin, eta horregatik hasten dira txartel horietako asko okerreko hipotesiarekin.
Zehaztu zein makinak betearazten duen araua
Kategoria aldatu aurretik, ezarri non gertatzen den blokeoa. Partekatzen den karpeta ostatatzen duen zerbitzariak bere suebakia izan dezake, eta haren arauak VPN igerilekutik datorren trafikoari aplikatzen zaizkio, bezeroak bere egokitzailea nola etiketatu duen edozein dela ere. Hango ukatzea ikusezina da exekutatzen duzun edozein tokiko komandorentzat, eta bezeroaren aldeak baliabidea ez dagoela eskuragarri besterik ez du jakinarazten. Probatu helmugaren beraren arauak bezeroaren sailkapena ukitu baino lehen.
Probatu bezeroatik portu zehatzera, eta gero alderatu VPN bereko beste ostalari baten probarekin. Biak huts egiten badute, arazoa helmugan edo bidean dago. Bakarrik batek huts egiten badu, aldea makin horrentzat tokikoa da, eta profil-kategoria arrazoi sinesgarria bihurtzen da.
Kontuan izan norabidea ere. Sarrerako SMB onartzen duen arauak ez dio ezer egiten irteerako bere arauak trafiko bera blokeatzen duen bezero bati. Fitxategi-esploratzailearen leiho batetik bi hutsegiteak bereizezinak dira, beraz probatu norabide bakoitza bereiz, ezer editatu aurretik.
Zer egin dena berriz etiketatu beharrean
Sare ezezagun bat Pribatu bihurtzea arau zabal bat betetzeko benetako aldaketa da, benetako ondorioekin. Profil pribatuak aurkikuntza gehiago eta sarrerako trafiko gehiago uzten ditu normalean publikoak baino.
Helburua zerbitzu zehatz bat VPN bezeroengana iristea bada, mugatu araua urruneko helbidearen arabera, profilaren arabera beharrean. Horrek asmoa zehazki adierazten du, sailkapena edozein dela funtzionatzen du eta ez da Windowsek egokitzaile birtual bati buruz ondo asmatzearen mende geratzen. Bezeroaren eguneratze batek interfazea berriz sailkatzen badu ere irauten du. Idatzi igerilekua arauan eta hurrengo pertsonak asmoa irakurri ahal izango du galdetu gabe.
Domeinu-kategoria benetan espero bada eta inoiz agertzen ez bada, hori ikerketa bereizia da. Egiaztatu makina domeinuari lotuta dagoela, tuneletik domeinu-kontrolagailu batera irits daitekeela eta kanal segurua osasuntsu dagoela. Hiru komando horiek erantzuten dute, erregistroaren edizio bakar bat ere egin gabe:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comHirurek erantzuten dute amaierako puntuak sarea autentifikatu ahal izango zuen ala ez. Kontrolagailura iristen ez bada, domeinu-kategoria ez da inoiz esleituko, egokitzailea zenbat aldiz berrezarri ere. Jazarri zinen suebaki-araua ez zen inoiz benetako arazoa, eta etiketa bide hautsi baten sintoma zen, ez arrazoia.