Cliaint VPN á mbacadh ag próifíl phoiblí bhalla dóiteáin Windows

Tá do thollán suas, freagraíonn an geata do ping, agus teipeann ar an gcomhroinnt comhad fós. Is annamh a bhíonn an meascán sin ina fhadhb ródaithe: chuir Windows foirlíon an oiriúnóir VPN sa phróifíl Phoiblí, agus níor cuireadh i bhfeidhm riamh aon riail cheadaithe a scríobhadh do Phríobháideach nó d'Fhearann. Tháinig mé trasna air seo ar ríomhairí glúine a shroicheann an oifig gan stró agus ar fhreastalaithe RRAS a fhreastalaíonn ar gach cliaint eile, agus tá an deisiúchán gearr a luaithe a ainmníonn tú an phróifíl atá i gceist. Seo an t-ord ina n-oibrím, leis an seiceáil a insíonn duit cathain a stopadh roimh an gcéad chéim eile.

Faigh amach cén phróifíl a dtagann an trácht uirthi i ndáiríre

Níl aon mhód domhanda amháin ag balla dóiteáin Windows. Tá catagóir ag gach comhéadan ceangailte, agus scagtar paicéid isteach de réir chatagóir an chomhéadain a dtagann siad uirthi, mar sin is í próifíl an oiriúnóir VPN a shocraíonn cad is féidir le cliaint sa tollán a bhaint amach, ní an t-oiriúnóir Wi-Fi ná Ethernet ina aice. Léigh an dá fhíric sula n-athraíonn tú aon rud:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

I ngnáthshuiteáil OpenVPN nó WireGuard, tagann an t-oiriúnóir VPN chun solais mar líonra neamhaitheanta agus tuirlingíonn sé sa Phróifíl Phoiblí, arb é an réamhshocrú é d'aon líonra nach féidir le Windows a aicmiú: níor fhreagair aon rialaitheoir fearainn air agus níor mheaitseáil aon phróifíl gheata. Níl baint ar bith ag ainm an chomhéadain anseo, mar sin ní athraíonn sé aon rud an t-oiriúnóir a thabhairt "VPN" nó "Corp". Teastaíonn meaisín atá ceangailte leis an bhfearann ó DomainAuthenticated ar féidir leis rialaitheoir fearainn a bhaint amach go fírinneach thar an gcomhéadan sin; ní chomhlíonfaidh tollán scoilte a iompraíonn foirlíon amháin é sin.

Má tá an riail a theastaíonn uait teoranta cheana don linn VPN agus má tá sí ag feidhmiú cheana don chatagóir a léigh tú díreach, stop anseo: ní scagadh do chiseal, agus is é cumraíocht na seirbhíse an chéad áit eile le breathnú. Tógann an tseiceáil sin deich soicind agus sábhálann sí uair an chloig d'eagarthóireacht rialacha. Tá ainmneacha na gcatagóirí agus a bhfuil i ngach ceann díobh doiciméadaithe sa tagairt Get-NetConnectionProfile.

Deimhnigh scagadh, ní ródú, sula n-eagraíonn tú rialacha

Is tástáil lag í ping. Féadfaidh ICMP dul trí agus port na seirbhíse á scartáil, agus féadfaidh óstach freagairt ón LAN agus an iarratas céanna a dhiúltú thar an tollán. Tástáil an port a theastaíonn ón gcliaint, ón gcliaint:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Má theipeann ar thástáil an phoirt, scars na dhá chiseal. Is gnách go bhfeictear locht tolláin nó róid mar aon easpa freagra ar bith ó sheoladh an gheata, agus taispeánann scartáil balla dóiteáin geata a fhreagraíonn agus port seirbhíse nach bhfreagraíonn. Ar fhreastalaí Windows a fhoilsíonn an linn trí RRAS, rith an tástáil chéanna ó chliaint agus léigh próifíl an fhreastalaí féin: féadfaidh comhéadan RAS a bheith i gcatagóir nach luann a riail ionchuir raon na gcliaint riamh, agus sin an fáth a bhfreastalaíonn an bosca ar a LAN agus a ndiúltaíonn sé do gach cliaint sa tollán.

Nuair a bhíonn an toradh fós débhríoch, logáil na scartálacha don phróifíl atá i gceist agus léigh iad:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Tá iontrálacha a ainmníonn seoladh agus port an chliaint le DROP cinntitheach, agus insíonn siad duit freisin cén riail a bhí ar iarraidh. Logáil nach bhfuil aon rud ann agus nach dtagann SYN an chliaint chun solais riamh díríonn sé roimh an óstach, mar sin téigh ar ais chuig an tollán, an riail NAT nó ród na linne sula dteagmhálaíonn tú le rud eile balla dóiteáin.

Cuir srian le riail ionchuir amháin ar linn na gcliaint

Is é an deisiúchán riail ionchuir cheadaithe amháin arb é an linn a sheoladh cianda, ní an domhan ar fad. Ó sheisiún ardaithe:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Nuair is aon dhénártha amháin an tseirbhís, tabhair tosaíocht do riail atá teoranta don chlár le -Program seachas liosta port; cuireann sé sin teorainn leis an eisceacht don phróiseas chomh maith leis an raon foinse.

Is é rogha na próifíle an áit a ndéantar an botún céanna sa treo eile. -Profile Public is leor nuair a bhíonn an t-oiriúnóir Poiblí agus go bhfanann sé Poiblí. -Profile Any is inchosanta nuair nach mór don tseirbhís oibriú is cuma conas a aicmíonn Windows an t-oiriúnóir, ach amháin fad a fhanann an raon cianda. Is é an rud nach bhfuil inchosanta riamh -RemoteAddress Any ar an bPróifíl Phoiblí: leanann an riail sin an ríomhaire glúine isteach i ngach líonra caifé agus óstáin a dtéann sé isteach ann agus osclaíonn sí an port do gach duine a roinneann an fhoirlíon sin.

Taifead an linn in aice na rialach. -RemoteAddress 10.8.0.0/24 stopann sé go ciúin ag meaitseáil an lá a n-athuimhrítear linn VPN, agus breathnaíonn an teip go beacht cosúil leis an mbunfhadhb, agus sin an fáth a gcosnaíonn sé tráthnóna eile. Ainmnigh rialacha i ndiaidh na seirbhíse agus an raoin foinse, coinnigh le chéile iad le -Group, agus athléigh iad aon uair a athraíonn sainmhíniú na linne. Sáraíonn fardal rialacha ar féidir leat é a iniúchadh ar aon scáileán amháin riail cheart nach féidir le duine ar bith a aimsiú.

Ní athraíonn tú an chatagóir ach amháin nuair is í an chatagóir an cinneadh

Oibríonn iompú an chomhéadain go Príobháideach freisin, agus is é an réamhshocrú mícheart é. Iompraíonn an phróifíl Phríobháideach liosta fada de rialacha ceadaithe ionsuite, a chlúdaíonn comhroinnt comhad agus printéirí, fionnachtain líonra, deasc chianda agus níos mó ag brath ar an mbonnlíne, mar sin cumasaíonn athaicmiú an oiriúnóir VPN iad go léir do gach cliaint sa tollán ag an am céanna. Tugann riail amháin theoranta seirbhís amháin do raon amháin. Ar ríomhaire glúine a théann isteach i líonraí neamhiontaofa freisin, níl an difríocht sin cosmaideach.

Tá cásanna ann ina bhfuil an t-aicmiú mícheart i ndáiríre: is bonneagar iontaofa tollán a bhíonn ar siúl i gcónaí nó ó shuíomh go suíomh a iompraíonn foirlíon oifige, agus is rogha dearaidh dhlisteanach é an t-oiriúnóir sin a mharcáil mar Phríobháideach, a dhéantar uair amháin de réir polasaí, ní de réir ticéid. Nuair a dhéanann tú é, déan go sainráite é:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Ar ghléas bainistithe, seiceáil ar dtús an bhfuil an socrú ag Polasaí Grúpa nó ag bonnlíne MDM. Má tá, cuirtear an t-athrú áitiúil ar ceal ag an gcéad athnuachan eile, agus gpresult /h ainmneoidh sé an polasaí a shealbhaíonn é; sásaigh é ansin, ní ar an bpointe deiridh.

Fíoraigh ón dá cheann agus fág rian

Fíoraigh an sreabhadh a thuairiscigh an t-úsáideoir, ón gcliaint, tar éis an athraithe:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Ansin dún an lúb ar na rudaí a bhriseann an tseachtain seo chugainn. Atosaigh an t-óstach agus aththástáil, mar leanann riail atá teoranta don phróifíl mhícheart ag obair go dtí go dtagann an t-oiriúnóir ar ais i gcatagóir eile. Tástáil ó dhara cliaint, mar féadfaidh cliaint amháin a bhfuil léas seanchaite aige neamhréir linne a cheilt. Comhair na rialacha a chuir tú leis i gcoinne na gcinntí a bhain tú, mar is iad na heisceachtaí forluiteacha an bealach a n-iompaíonn deisiú dhá líne ina pholasaí scagtha nach féidir le duine ar bith a athbhreithniú.

Sula nglaonn tú críochnaithe air:

• Is í an phróifíl a ainmnítear sa riail an phróifíl ar an gcomhéadan a dtagann an trácht uirthi.
• Is é an linn VPN an raon cianda, agus meaitseálann an linn sin an méid a dháileann an freastalaí i ndáiríre.
• Ní úsáideann aon riail a chuir tú leis -RemoteAddress Any ar an bPróifíl Phoiblí.
• Níor díchumasaíodh aon rud chun go n-éireodh leis an tástáil, agus taifeadann aon athrú catagóire cé a cheadaigh é.