למה מתאם ה-VPN שלכם נשאר בפרופיל חומת האש הציבורי
כניסה לחשבון תחום אינה מסווגת את הרשת כתחום, ו-Private אינו תחליף. קראו את פרופיל הכלל, ואחר כך את המחשב שאוכף אותו.
המנהרה פעילה, החשבון אומת מול התחום, ו-Windows עדיין מסמן את החיבור כציבורי. לכן כלל חומת אש שנכתב עבור פרופיל התחום אינו חל, ושיתוף הקבצים נשאר בלתי נגיש. ניסיון התיקון הרגיל הוא להגדיר את המתאם כפרטי, מה שמשנה אילו כללים חלים בלי לשנות דבר באימות. גם התווית וגם התיקון מובנים שלא כהלכה בקרב רבים, וההפרדה ביניהם דורשת שלוש פקודות.
החשבון שהתחבר אינו הקטגוריה של הרשת
במהלך חיבור VPN מתקבלות שתי החלטות שונות, וקל לבלבל ביניהן. השער מחליט אם החשבון רשאי להתחבר. Windows מחליט כיצד לסווג את הרשת הנוצרת, והסיווג הזה קובע אילו כללי חומת אש חלים על ממשק הרשת.
אימות תחום מוצלח בשער הוא ראיה לגבי החשבון. זו אינה ראיה לכך שנקודת הקצה אימתה את הרשת מול בקר תחום, וזה בדיוק מה שקטגוריית התחום מייצגת.
לכן מחשב יכול להיות מצורף לתחום, להתחבר בחשבון תחום, ובכל זאת להציג ציבורי. הסיווג הוא קביעה מקומית לגבי הרשת, לא הצהרה על פרטי הכניסה שפתחו את המנהרה. החשבון יכול להיות תקף לחלוטין בזמן שהתווית נשארת במקום שבו התחילה.
שלוש קטגוריות, שאחת מהן אינה ניתנת לקביעה
Windows מציג שלוש קטגוריות, ורק שתיים מהן ניתנות להקצאה בידי מנהל. את השלישית קובעת מערכת ההפעלה לאחר שאימתה את הרשת בהצלחה מול בקר תחום.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedהפקודה השלישית נכשלת, וזו ההתנהגות המתועדת ולא בעיית הרשאות. התיעוד של הפקודה עצמה מציין שלא ניתן להקצות את קטגוריית התחום בדרך זו, מפני ש-Windows גוזר אותה מאימות התחום. לראות את השגיאה הוא אישור שימושי לכך שהקטגוריה היא תוצאה ולא הגדרה.
קראו את הפקודה הראשונה בנקודת הקצה שהתעבורה שלה נחסמת. הסיווג של ממשק השער עצמו אינו אומר לכם דבר על איך כל תחנת עבודה סיווגה את המנהרה שלה.
כללים הולכים לפי הפרופיל שעבורו נכתבו
לאחר שאתם יודעים את הקטגוריה, הגישה החסרה בדרך כלל מסבירה את עצמה. כל כלל של Windows Firewall נושא היקף פרופיל, וכלל שמוגבל לתחום אינו חל כשהממשק ציבורי. שלוש פקודות הופכות את זה לתשובה ולא לתאוריה, והשלישית תופסת את המקרה שבו הפרופיל מעולם לא היה הבעיה:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionהפקודה השנייה היא זו שהופכת דוח מעורפל לתיקון. אם הכלל מוגבל לטווח כתובות מרוחקות שאינו כולל את מאגר ה-VPN, גם שינוי הפרופיל לא יעזור.
בדקו גם את פעולת הכניסה המוגדרת כברירת מחדל. במחשב שבו כניסה נחסמת כברירת מחדל, כלל הרשאה חסר מייצר שקט במקום דחייה. מצד הלקוח זה נראה זהה לכשל ניתוב, ולכן כל כך הרבה מהפניות האלה מתחילות בהנחה השגויה.
בררו איזה מחשב אוכף את הכלל
לפני שינוי קטגוריה, קבעו היכן החסימה מתרחשת. ייתכן שלשרת שמארח את השיתוף יש חומת אש משלו, וכלליו חלים על התעבורה שמגיעה ממאגר ה-VPN בלי קשר לאיך שהלקוח סימן את המתאם שלו. דחייה שם אינה נראית לאף פקודה מקומית שתריצו, וצד הלקוח רק מדווח שהמשאב אינו זמין. בדקו את הכללים של היעד עצמו לפני שתיגעו בסיווג של הלקוח.
בדקו מהלקוח אל הפורט הספציפי, ואז השוו לבדיקה ממארח אחר באותו VPN. אם שניהם נכשלים, הבעיה ביעד או בנתיב. אם רק אחד נכשל, ההבדל מקומי לאותו מחשב, וקטגוריית הפרופיל נעשית סיבה סבירה.
זכרו גם את הכיוון. כלל שמתיר SMB נכנס אינו עושה דבר ללקוח שכלל היציאה שלו חוסם את אותה תעבורה. מחלון סייר הקבצים שני הכשלים אינם ניתנים להבחנה, לכן בדקו כל כיוון בנפרד לפני שתערכו משהו.
מה לעשות במקום לתייג הכול מחדש
הפיכת רשת לא מזוהה לפרטית כדי לספק כלל רחב היא שינוי אמיתי עם השלכות אמיתיות. פרופיל פרטי בדרך כלל מתיר יותר גילוי ויותר תעבורה נכנסת מאשר הציבורי.
אם המטרה היא לאפשר לשירות מסוים להגיע ללקוחות ה-VPN, הגבילו את הכלל לפי כתובת מרוחקת ולא לפי פרופיל. זה מבטא את הכוונה במדויק, עובד ללא תלות בסיווג, ואינו תלוי בכך ש-Windows ינחש נכון לגבי מתאם וירטואלי. זה גם שורד עדכון לקוח שמסווג מחדש את הממשק. כתבו את המאגר בכלל, והאדם הבא יוכל לקרוא את הכוונה בלי לשאול.
אם קטגוריית התחום באמת צפויה ואינה מופיעה לעולם, זו חקירה נפרדת. בדקו שהמחשב מצורף לתחום, שהוא יכול להגיע לבקר תחום דרך המנהרה, ושהערוץ המאובטח תקין. שלוש הפקודות האלה עונות על זה בלי עריכת רישום אחת:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comשלוש אלה עונות על השאלה אם נקודת הקצה הייתה יכולה לאמת את הרשת בכלל. אם היא אינה יכולה להגיע לבקר, קטגוריית התחום לעולם לא תוקצה, לא משנה כמה פעמים המתאם יאופס. כלל חומת האש שרדפתם אחריו מעולם לא היה הבעיה האמיתית, והתווית הייתה סימפטום של נתיב שבור ולא סיבה.