VPN bezeroak blokeatuta Windows-en firewall profil Publikoaren ondorioz

Zure tunela martxan dago, atebideak ping-erantzuna ematen du, eta fitxategi-partekatzeak denbora-muga gainditzen du oraindik. Konbinazio hori gutxitan da bideratze-arazo bat: Windows-ek VPN egokitzailearen azpisarea Profil Publikoan jarri du, eta Pribatu edo Domeinu-rako idatzitako baimen-arau guztiak ez dira inoiz aplikatu. Hau ikusi dut bulegora arazorik gabe heltzen diren eramangarrietan eta beste bezero guztiak zerbitzatzen dituzten RRAS zerbitzarietan, eta konponketa laburra da jokoan dagoen profila izendatzen duzunean. Hona hemen nire lan-ordena, hurrengo urratsaren aurretik noiz gelditu esango dizun egiaztapenarekin.

Egin zein profiletik iristen den trafikoa benetan

Windows-en firewall-ak ez du modu global bakarra. Konektatutako interfaze bakoitzak kategoria bat du, eta sarrerako paketeak iristen diren interfazearen kategoriaren arabera iragazten dira, beraz VPN egokitzailearen profilak erabakitzen du tunel-gunean dagoen bezero batek zer lor dezakeen, alboan dagoen Wi-Fi edo Ethernet egokitzaileak ez. Irakurri bi datuak ezer aldatu aurretik:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

OpenVPN edo WireGuard instalazio arruntean, VPN egokitzailea identifikatu gabeko sare gisa agertzen da eta Publikoan amaitzen du, Windows-ek sailkatu ezin duen edozein saretarako balio lehenetsia baita: domeinu-kontrolatzaile batek ere ez dio erantzun, eta atebide-profilik ez dator bat. Interfazearen izenak ez du hemen garrantzirik, beraz egokitzailea "VPN" edo "Corp" deitzeak ez du ezer aldatzen. DomainAuthenticated-ek domeinuari lotutako makina bat behar du , interfaze horren bidez domeinu-kontrolatzaile bat benetan lor dezakeena; azpisare bakarra eramaten duen tunel zatitu batek ez du baldintza hori beteko.

Behar duzun araua dagoeneko VPN igerilekura mugatuta badago eta orain irakurri duzun kategoriari aplikatzen bazaio, gelditu hemen: iragazketa ez da zure geruza, eta hurrengo begiratzeko lekua zerbitzuaren konfigurazioa da. Egiaztapen horrek hamar segundo behar ditu eta ordu bat aurrezten du arauak editatzen. Kategoria-izenak eta bakoitzak zer estaltzen duen ikusi Get-NetConnectionProfile erreferentzia.

Egiaztatu iragazketa, ez bideratzea, arauak editatu aurretik

Ping proba ahula da. ICMP pasa daiteke zerbitzuaren ataka baztertzen den bitartean, eta ostalari batek LAN-etik erantzun dezake eskaera bera tuneletik ukatzen duen bitartean. Probatu bezeroak behar duen ataka, bezerotik:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Ataka-probak huts egiten badu, bereizi bi geruzak. Tunel edo bide-errore bat atebidearen helbidetik erantzunik ez gisa agertzen da normalean, firewallaren bazterketak erantzuten duen atebidea eta erantzuten ez duen zerbitzu-ataka erakusten dituen bitartean. Igerilekua RRAS bidez argitaratzen duen Windows zerbitzari batean, exekutatu proba bera bezero batetik eta irakurri zerbitzariaren beraren profila: RAS interfazea kategoria batean egon daiteke, zeinaren sarrera-arauak ez baitute inoiz bezero-barrutia aipatzen, eta horregatik zerbitzatzen du makinak bere LAN-a eta ukatzen du tunel-guneko bezero guztiak.

Emaitza oraindik anbiguoa denean, erregistratu jokoan dagoen profilaren bazterketak eta irakurri:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Bezeroaren helbidea eta ataka DROP-ekin aipatzen dituzten sarrerak erabakigarriak dira, eta falta zen araua ere esaten dute. Ezer ez duen erregistro batek, bezeroaren SYN-a inoiz agertzen ez den bitartean, ostalariaren aurretik seinalatzen du, beraz itzuli tunelera, NAT araura edo igerilekuaren bidera beste firewall objektu bat ukitu aurretik.

Mugatu sarrera-arau bat bezeroen igerilekuarekin

Konponketa sarrera-baimen arau bakarra da, zeinaren urruneko helbidea igerilekua baita, ez mundu osoa. Sesio goratu batetik:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Zerbitzua binario bakarra denean, hobetsi ataka-zerrendaren ordez -Program parametroa duen programara mugatutako araua; horrek salbuespena prozesura eta iturri-barrutira mugatzen du.

Profilaren hautaketa da akats bera kontrako norabidean egiten den lekua. -Profile Public nahikoa da egokitzailea Publikoa denean eta Publikoa izaten jarraitzen duenean. -Profile Any defendagarria da zerbitzuak Windows-ek egokitzailea nola sailkatzen duen edozein dela ere funtzionatu behar duenean, baina urruneko eremua irauten duen bitartean soilik. Inoiz defendagarria ez dena da -RemoteAddress Any Profil Publikoan: arau horrek eramangarria berak bat egiten duen kafe eta hotel sare guztietara jarraitzen du eta ataka irekitzen die azpisare hori partekatzen duen orori.

Idatzi igerilekua arauaren ondoan. -RemoteAddress 10.8.0.0/24 isilik uzten dio bat etortzeari VPN igerilekua berriz zenbakitzen den egunean, eta hutsegitea jatorrizko errorearen berdin-berdina da, horregatik bigarren arratsalde bat kostatzen du. Izenda itzazu arauak zerbitzuaren eta iturri-barrutiaren arabera, eduki itzazu elkarrekin -Group erabiliz, eta irakurri berriro igerilekuaren definizioa aldatzen den bakoitzean. Pantaila bakarrean auditatu dezakezun arau-inbentarioak inork aurkitzen ez duen arau zuzena gainditzen du.

Aldatu kategoria soilik kategoria erabakia denean

Interfazea Pribatura aldatzeak ere funtzionatzen du, eta balio lehenetsi okerra da. Profil Pribatuak baimen-arau integratuen zerrenda luzea dakar: fitxategi eta inprimagailu partekatzea, sare-aurkikuntza, urrutiko mahaigaina eta oinarri-lerroaren arabera gehiago ere biltzen ditu, beraz VPN egokitzailea birsailkatzeak horiek guztiak aldi berean gaitzen ditu tunel-guneko bezero bakoitzarentzat. Arau mugatu batek zerbitzu bat ematen dio barruti bati. Sare ez-fidagarriekin ere bat egiten duen eramangarri batean, desberdintasun hori ez da kosmetikoa.

Klasifikazioa benetan okerra den kasuak daude: etengabe aktibo dagoen edo guneen arteko tunel batek bulego azpisare bat eramaten badu, konfiantzazko azpiegitura da, eta egokitzaile hori Pribatu gisa markatzea diseinu-erabaki zilegia da, politika bidez behin hartzen dena, ez txartel bakoitzeko. Hori egiten duzunean, egin ezazu modu esplizituan:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Gailu kudeatu batean, egiaztatu lehenik ezarpena Talde-Politika batek edo MDM oinarri-lerro batek duen. Badu, aldaketa lokala hurrengo freskatzean desegiten da, eta gpresult /h jabe den politika izendatuko du; konpondu han, ez amaiera-puntuan.

Egiaztatu bi muturretatik eta utzi arrastoa

Egiaztatu erabiltzaileak jakinarazitako fluxua, bezerotik, aldaketaren ondoren:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Ondoren itxi begizta hurrengo astean hautsiko diren gauzetan. Berrabiarazi ostalaria eta probatu berriro, profil okerrean mugatutako arau batek lanean jarraitzen baitu egokitzailea beste kategoria batean itzuli arte. Probatu bigarren bezero batetik, leasing zaharkitua duen bezero batek igerilekuaren desadostasuna ezkuta baitezake. Zenbatu gehitutako arauak kendutakoen aurka, gainjarritako salbuespenak dira-eta bi lerroko konponketa inork berrikusi ezin duen iragazketa-politika bihurtzeko modua.

Amaitzat eman aurretik:

• Arauan izendatutako profila trafikoa iristen den interfazearen profila da.
• Urruneko eremua VPN igerilekua da, eta igerileku hori zerbitzariak benetan ematen duenarekin bat dator.
• Gehitutako arau batek ere ez du erabiltzen -RemoteAddress Any Profil Publikoan.
• Ez da ezer desgaitu proba iragan dadin, eta kategoria-aldaketa bakoitzak nork onartu zuen erregistratzen du.