چرا آداپتور VPN شما روی نمایه عمومی فایروال می‌ماند
ورود به دامنه شبکه را دامنه طبقه‌بندی نمی‌کند و «خصوصی» جایگزین آن نیست. ابتدا نمایه قاعده را بخوانید و سپس رایانه‌ای که آن را اعمال می‌کند.
تونل برپاست، حساب در برابر دامنه احراز هویت شده است و ویندوز هنوز اتصال را عمومی برچسب می‌زند. بنابراین قاعده فایروالی که برای نمایه دامنه نوشته شده اعمال نمی‌شود و اشتراک فایل دور از دسترس می‌ماند. تلاش معمول برای رفع مشکل این است که آداپتور را خصوصی کنیم، کاری که تغییر می‌دهد کدام قواعد اعمال شوند بدون آنکه چیزی در احراز هویت عوض شود. هم برچسب و هم این رفع مشکل به‌طور گسترده بد فهمیده می‌شوند و جدا کردن آن دو سه فرمان می‌خواهد.
حسابی که وارد شده دسته شبکه نیست
در هنگام اتصال VPN دو تصمیم متفاوت گرفته می‌شود و آمیختن آن دو آسان است. دروازه تصمیم می‌گیرد که آیا حساب اجازه اتصال دارد. ویندوز تصمیم می‌گیرد شبکه حاصل چگونه طبقه‌بندی شود و همین طبقه‌بندی تعیین می‌کند کدام قواعد فایروال بر رابط اعمال شوند.
احراز هویت موفق دامنه در دروازه شاهدی درباره حساب است. این شاهد آن نیست که نقطه پایانی شبکه را در برابر کنترل‌کننده دامنه احراز هویت کرده باشد و دقیقاً همین است که دسته دامنه بازنمایی می‌کند.
به همین دلیل یک رایانه می‌تواند به دامنه بپیوندد، با حساب دامنه متصل شود و باز هم عمومی نشان دهد. طبقه‌بندی تشخیصی محلی درباره شبکه است، نه بیانیه‌ای درباره اعتبارنامه‌هایی که تونل را باز کرده‌اند. حساب می‌تواند کاملاً معتبر باشد در حالی که برچسب همان‌جا که بوده بماند.
سه دسته که یکی را نمی‌توانید تعیین کنید
ویندوز سه دسته ارائه می‌دهد و مدیر فقط می‌تواند دو تا از آن‌ها را تعیین کند. سومی را سیستم‌عامل پس از احراز هویت موفق شبکه در برابر کنترل‌کننده دامنه تعیین می‌کند.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedفرمان سوم شکست می‌خورد و این رفتار مستند است، نه مشکل مجوز. مرجع خود این cmdlet می‌گوید دسته دامنه را نمی‌توان از این راه تعیین کرد، زیرا ویندوز آن را از احراز هویت دامنه استخراج می‌کند. دیدن این خطا تأیید سودمندی است که دسته یک پیامد است، نه یک تنظیم.
فرمان اول را روی نقطه پایانی‌ای بخوانید که ترافیکش مسدود شده است. طبقه‌بندی رابط خود دروازه هیچ چیزی درباره اینکه هر ایستگاه کاری تونلش را چگونه طبقه‌بندی کرده به شما نمی‌گوید.
قواعد از نمایه‌ای پیروی می‌کنند که برایش نوشته شده‌اند
وقتی دسته را بدانید، دسترسی از دست رفته معمولاً خودش را توضیح می‌دهد. هر قاعده Windows Firewall یک دامنه نمایه دارد و قاعده‌ای که به دامنه محدود شده وقتی رابط عمومی است اعمال نمی‌شود. سه فرمان این را به پاسخ تبدیل می‌کند نه نظریه و سومی موردی را می‌گیرد که نمایه هرگز مشکل نبوده است:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionفرمان دوم همان است که گزارش مبهم را به راه‌حل تبدیل می‌کند. اگر قاعده به محدوده‌ای از نشانی‌های دور محدود باشد که استخر VPN را در بر نگیرد، تغییر نمایه هم کمکی نمی‌کند.
اقدام پیش‌فرض ورودی را هم بررسی کنید. در رایانه‌ای که ورودی به‌طور پیش‌فرض مسدود است، نبودن قاعده اجازه سکوت تولید می‌کند نه رد. از سمت کلاینت این دقیقاً مانند شکست مسیریابی به نظر می‌رسد و به همین دلیل بسیاری از این تیکت‌ها با فرض نادرست آغاز می‌شوند.
مشخص کنید کدام رایانه قاعده را اعمال می‌کند
پیش از تغییر دسته، مشخص کنید مسدودسازی کجا رخ می‌دهد. سروری که اشتراک را میزبانی می‌کند ممکن است فایروال خودش را داشته باشد و قواعدش بر ترافیکی اعمال شوند که از استخر VPN می‌آید، بی‌آنکه مهم باشد کلاینت آداپتورش را چه نامیده است. رد شدن در آنجا برای هر فرمان محلی که اجرا کنید نامرئی است و سمت کلاینت فقط گزارش می‌دهد که منبع در دسترس نیست. پیش از دست زدن به طبقه‌بندی کلاینت، قواعد خود مقصد را بیازمایید.
از کلاینت به درگاه مشخص آزمایش کنید و سپس با آزمایشی از میزبان دیگر در همان VPN مقایسه کنید. اگر هر دو شکست بخورند، مشکل در مقصد یا در مسیر است. اگر فقط یکی شکست بخورد، تفاوت محلی همان رایانه است و دسته نمایه علت محتملی می‌شود.
جهت را هم در نظر بگیرید. قاعده‌ای که SMB ورودی را مجاز می‌کند هیچ کاری برای کلاینتی نمی‌کند که قاعده خروجی خودش همان ترافیک را مسدود می‌کند. از پنجره کاوشگر فایل این دو شکست از هم قابل تشخیص نیستند، پس پیش از ویرایش هر چیزی هر جهت را جداگانه بیازمایید.
چه کنیم به جای تغییر برچسب همه چیز
خصوصی کردن یک شبکه ناشناس برای برآوردن یک قاعده گسترده تغییری واقعی با پیامدهای واقعی است. نمایه خصوصی معمولاً بیش از نمایه عمومی کشف و ترافیک ورودی مجاز می‌کند.
اگر هدف این است که سرویس مشخصی به کلاینت‌های VPN برسد، قاعده را بر اساس نشانی دور محدود کنید نه نمایه. این نیت را دقیق بیان می‌کند، مستقل از طبقه‌بندی کار می‌کند و به درست حدس زدن ویندوز درباره یک آداپتور مجازی وابسته نیست. از به‌روزرسانی کلاینتی هم که رابط را دوباره طبقه‌بندی کند جان سالم به در می‌برد. استخر را در قاعده بنویسید تا نفر بعدی بدون پرسیدن نیت را بخواند.
اگر دسته دامنه واقعاً انتظار می‌رود و هرگز ظاهر نمی‌شود، این بررسی جداگانه‌ای است. بررسی کنید که رایانه به دامنه پیوسته باشد، بتواند از طریق تونل به کنترل‌کننده دامنه برسد و کانال امن سالم باشد. این سه فرمان بدون حتی یک ویرایش رجیستری پاسخ می‌دهند:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comاین سه پاسخ می‌دهند که آیا نقطه پایانی اصلاً می‌توانست شبکه را احراز هویت کند. اگر به کنترل‌کننده نرسد، دسته دامنه هرگز تعیین نمی‌شود، هر چند بار که آداپتور بازنشانی شود. قاعده فایروالی که دنبالش بودید هرگز مشکل واقعی نبود و برچسب نشانه مسیر خراب بود، نه علت.