Miért marad a VPN-adapter a nyilvános tűzfalprofilban

Az alagút él, a fiók hitelesítése megtörtént a tartomány ellen, a Windows mégis nyilvánosként címkézi a kapcsolatot. Ezért a tartományi profilra írt tűzfalszabály nem érvényesül, és a fájlmegosztás elérhetetlen marad. A szokásos javítási kísérlet az adapter privátra állítása, ami megváltoztatja, mely szabályok érvényesek, de semmit nem változtat a hitelesítésen. Mind a címkét, mind a javítást széles körben félreértik, szétválasztásukhoz pedig három parancs kell.

A bejelentkező fiók nem a hálózat kategóriája

A VPN-kapcsolat során két különböző döntés születik, és könnyű összekeverni őket. Az átjáró dönti el, csatlakozhat-e a fiók. A Windows dönti el, hogyan sorolja be a létrejövő hálózatot, és ez a besorolás határozza meg, mely tűzfalszabályok érvényesek a csatolóra.

A sikeres tartományi hitelesítés az átjárónál a fiókra vonatkozó bizonyíték. Nem bizonyítéka annak, hogy a végpont hitelesítette a hálózatot egy tartományvezérlő ellen, és pontosan ezt képviseli a tartományi kategória.

Ezért lehet egy gép tartományhoz csatlakoztatva, tartományi fiókkal kapcsolódhat, és mégis nyilvánost mutat. A besorolás helyi megállapítás a hálózatról, nem nyilatkozat az alagutat megnyitó hitelesítő adatokról. A fiók teljesen érvényes lehet, miközben a címke ott marad, ahol kezdődött.

Három kategória, amelyek közül egyet nem állíthat be

A Windows három kategóriát kínál, és ezek közül csak kettőt rendelhet hozzá rendszergazda. A harmadikat az operációs rendszer dönti el, miután sikeresen hitelesítette a hálózatot egy tartományvezérlő ellen.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

A harmadik parancs meghiúsul, és ez a dokumentált viselkedés, nem jogosultsági probléma. A parancsmag saját referenciája kimondja, hogy a tartományi kategória így nem rendelhető hozzá, mert a Windows a tartományi hitelesítésből származtatja. A hiba látása hasznos megerősítés arról, hogy a kategória következmény, nem beállítás.

Az első parancsot azon a végponton futtassa, amelynek a forgalma blokkolva van. Az átjáró saját csatolójának besorolása semmit nem mond arról, hogy az egyes csatlakozó munkaállomások hogyan sorolták be a saját alagútjukat.

A szabályok ahhoz a profilhoz igazodnak, amelyre íródtak

Ha ismeri a kategóriát, a hiányzó hozzáférés általában magától megmagyarázódik. Minden Windows Firewall-szabály profilhatókörrel rendelkezik, és a tartományra korlátozott szabály nem érvényes, ha a csatoló nyilvános. Három parancs válasszá teszi ezt elmélet helyett, és a harmadik elkapja azt az esetet, amikor a profil soha nem volt a probléma:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

A második parancs az, amely a homályos jelentést javítássá alakítja. Ha a szabály olyan távoli címtartományra korlátozódik, amely nem tartalmazza a VPN-készletet, a profil módosítása sem segít.

Ellenőrizze a bejövő forgalom alapértelmezett műveletét is. Egy gépen, ahol a bejövő forgalom alapértelmezés szerint blokkolt, a hiányzó engedélyező szabály csendet eredményez elutasítás helyett. Az ügyfél oldaláról ez pontosan úgy néz ki, mint egy útválasztási hiba, és ezért kezdődik sok ilyen jegy rossz feltételezéssel.

Állapítsa meg, melyik gép érvényesíti a szabályt

Mielőtt kategóriát változtat, állapítsa meg, hol történik a blokkolás. Előfordulhat, hogy a megosztást futtató kiszolgálónak saját tűzfala van, és szabályai a VPN-készletből érkező forgalomra érvényesek, függetlenül attól, hogy az ügyfél hogyan címkézte az adapterét. Az ottani elutasítás láthatatlan minden helyi parancs számára, amelyet futtat, az ügyfél oldala pedig csak azt jelenti, hogy az erőforrás nem érhető el. Tesztelje a cél saját szabályait, mielőtt hozzányúlna az ügyfél besorolásához.

Teszteljen az ügyféltől az adott portig, majd hasonlítsa össze egy másik, ugyanazon a VPN-en lévő gazdagépről végzett teszttel. Ha mindkettő meghiúsul, a probléma a célnál vagy az útvonalon van. Ha csak az egyik hiúsul meg, a különbség helyi az adott gépen, és a profil kategóriája valószínű okká válik.

Tartsa szem előtt az irányt is. A bejövő SMB-t engedélyező szabály semmit nem tesz egy olyan ügyfélért, amelynek saját kimenő szabálya ugyanazt a forgalmat blokkolja. Egy fájlkezelő ablakából a két hiba nem különböztethető meg, ezért minden irányt külön teszteljen, mielőtt bármit szerkesztene.

Mit tegyen ahelyett, hogy mindent átcímkéz

Egy azonosítatlan hálózat privátra állítása egy széles szabály kielégítésére valódi változás valódi következményekkel. A privát profil általában több felderítést és több bejövő forgalmat engedélyez, mint a nyilvános.

Ha a cél az, hogy egy adott szolgáltatás elérje a VPN-ügyfeleket, a szabályt távoli cím szerint korlátozza, ne profil szerint. Ez pontosan kifejezi a szándékot, a besorolástól függetlenül működik, és nem függ attól, hogy a Windows helyesen találgat-e egy virtuális adaptert illetően. Egy olyan ügyfélfrissítést is túlél, amely újrabesorolja a csatolót. Írja a készletet a szabályba, és a következő ember kérdezés nélkül elolvashatja a szándékot.

Ha a tartományi kategória valóban elvárt, és soha nem jelenik meg, az külön vizsgálat. Ellenőrizze, hogy a gép tartományhoz csatlakoztatott-e, eléri-e a tartományvezérlőt az alagúton keresztül, és hogy a biztonságos csatorna egészséges-e. Ez a három parancs egyetlen beállításjegyzék-módosítás nélkül válaszol:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Ez a három arra válaszol, egyáltalán hitelesíthette-e volna a végpont a hálózatot. Ha nem éri el a vezérlőt, a tartományi kategória soha nem lesz hozzárendelve, akárhányszor állítják vissza az adaptert. A tűzfalszabály, amelyet üldözött, soha nem volt az igazi probléma, és a címke egy törött útvonal tünete volt, nem oka.