Zašto vaš VPN adapter ostaje na javnom profilu vatrozida
Prijava na domenu ne klasificira mrežu kao domenu, a Privatno nije zamjena. Pročitajte profil pravila, a zatim računalo koje ga provodi.
Tunel je aktivan, račun je autentificiran na domeni, a Windows i dalje označava vezu kao javnu. Zato se pravilo vatrozida napisano za profil domene ne primjenjuje, a dijeljeni folder ostaje nedostupan. Uobičajeni pokušaj popravka je postavljanje adaptera na privatno, što mijenja koja pravila vrijede, ali ne mijenja ništa u autentifikaciji. I oznaka i popravak su široko pogrešno shvaćeni, a njihovo razdvajanje zahtijeva tri naredbe.
Račun koji se povezao nije kategorija mreže
Tijekom VPN veze donose se dvije različite odluke i lako ih je pomiješati. Gateway odlučuje može li se račun povezati. Windows odlučuje kako klasificirati nastalu mrežu, a ta klasifikacija određuje koja pravila vatrozida vrijede za sučelje.
Uspješna autentifikacija na domeni na gatewayu dokaz je o računu. To nije dokaz da je krajnja točka autentificirala mrežu na kontroleru domene, a upravo to predstavlja kategorija domene.
Zato računalo može biti pridruženo domeni, povezivati se računom domene i ipak prikazivati javno. Klasifikacija je lokalna odluka o mreži, a ne izjava o vjerodajnicama koje su otvorile tunel. Račun može biti potpuno valjan dok oznaka ostaje tamo gdje je počela.
Tri kategorije, jednu od kojih ne možete postaviti
Windows izlaže tri kategorije i samo dvije od njih može dodijeliti administrator. Treću određuje operacijski sustav nakon što uspješno autentificira mrežu na kontroleru domene.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedTreća naredba ne uspijeva i to je dokumentirano ponašanje, a ne problem s dozvolama. Referenca same naredbe navodi da se kategorija domene ne može dodijeliti na taj način, jer je Windows izvodi iz autentifikacije na domeni. Vidjeti grešku korisna je potvrda da je kategorija posljedica, a ne postavka.
Pročitajte prvu naredbu na krajnjoj točki čiji se promet blokira. Klasifikacija vlastitog sučelja gatewaya ne govori ništa o tome kako je svaka radna stanica klasificirala svoj tunel.
Pravila slijede profil za koji su napisana
Kada znate kategoriju, nedostajući pristup obično se sam objasni. Svako pravilo Windows Firewalla nosi opseg profila, a pravilo ograničeno na domenu ne vrijedi kada je sučelje javno. Tri naredbe to pretvaraju u odgovor, a ne u teoriju, a treća hvata slučaj u kojem profil nikada nije bio problem:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionDruga naredba je ona koja nejasan izvještaj pretvara u popravak. Ako je pravilo ograničeno na raspon udaljenih adresa koji ne uključuje VPN pool, ni promjena profila neće pomoći.
Provjerite i zadanu radnju za dolazni promet. Na računalu na kojem je dolazni promet zadano blokiran, nedostajuće pravilo dopuštenja proizvodi tišinu umjesto odbijanja. S klijentske strane to izgleda identično kao greška usmjeravanja, zbog čega toliko ovih zahtjeva počinje s pogrešnom pretpostavkom.
Utvrdite koje računalo provodi pravilo
Prije promjene kategorije utvrdite gdje se blokada događa. Poslužitelj koji hosta dijeljeni folder može imati vlastiti vatrozid, a njegova pravila vrijede za promet koji dolazi iz VPN poola bez obzira na to kako je klijent označio svoj adapter. Odbijanje tamo je nevidljivo za svaku lokalnu naredbu koju pokrenete, a klijentska strana samo javlja da resurs nije dostupan. Testirajte vlastita pravila odredišta prije nego što dirnete klasifikaciju klijenta.
Testirajte s klijenta na konkretni port, pa usporedite s testom s drugog hosta na istom VPN-u. Ako oba ne uspiju, problem je na odredištu ili na putu. Ako ne uspije samo jedan, razlika je lokalna za to računalo i kategorija profila postaje vjerojatan uzrok.
Imajte na umu i smjer. Pravilo koje dopušta dolazni SMB ne čini ništa za klijenta čije vlastito odlazno pravilo blokira isti promet. Iz prozora datotečnog upravitelja dva se kvara ne razlikuju, pa testirajte svaki smjer odvojeno prije bilo kakvog uređivanja.
Što učiniti umjesto preimenovanja svega
Pretvaranje neidentificirane mreže u privatnu da bi se zadovoljilo široko pravilo stvarna je promjena sa stvarnim posljedicama. Privatni profil obično dopušta više otkrivanja i više dolaznog prometa od javnog.
Ako je cilj omogućiti da konkretna usluga dosegne VPN klijente, ograničite pravilo po udaljenoj adresi umjesto po profilu. To precizno izražava namjeru, radi bez obzira na klasifikaciju i ne ovisi o tome da Windows ispravno pogodi virtualni adapter. Također preživljava ažuriranje klijenta koje preklasificira sučelje. Upišite pool u pravilo i sljedeća osoba može pročitati namjeru bez pitanja.
Ako se kategorija domene doista očekuje i nikada se ne pojavi, to je zasebna istraga. Provjerite je li računalo pridruženo domeni, može li doći do kontrolera domene kroz tunel i je li sigurni kanal zdrav. Te tri naredbe odgovaraju na to bez ijedne izmjene registra:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comTe tri odgovaraju na pitanje je li krajnja točka uopće mogla autentificirati mrežu. Ako ne može doći do kontrolera, kategorija domene nikada neće biti dodijeljena, koliko god puta adapter bio resetiran. Pravilo vatrozida za kojim ste jurili nikada nije bilo pravi problem, a oznaka je bila simptom pokvarenog puta, a ne uzrok.