Ինչու է ձեր VPN ադապտերը մնում հանրային firewall պրոֆիլում
Դոմեն մուտք գործելը ցանցը դոմեն չի դասակարգում, և «Մասնավոր»-ը փոխարինող չէ։ Կարդացեք կանոնի պրոֆիլը, ապա այն մեքենան, որը կիրառում է այն։
Թունելը աշխատում է, հաշիվը նույնականացվել է դոմենի նկատմամբ, բայց Windows-ը միացումը դեռ նշում է որպես հանրային։ Հետևաբար դոմենի պրոֆիլի համար գրված firewall-ի կանոնը չի կիրառվում, և ֆայլի համօգտագործումը մնում է անհասանելի։ Ուղղման սովորական փորձը ադապտերը «Մասնավոր» դարձնելն է, ինչը փոխում է, թե որ կանոններն են գործում, բայց ոչինչ չի փոխում նույնականացման մեջ։ Եվ պիտակը, և ուղղումը լայնորեն սխալ են հասկացվում, և դրանք բաժանելու համար պահանջվում է երեք հրաման։
Միացած հաշիվը ցանցի կատեգորիան չէ
VPN միացման ընթացքում երկու տարբեր որոշում է կայացվում, և դրանք հեշտ է շփոթել։ Դարպասը որոշում է՝ կարող է հաշիվը միանալ, թե ոչ։ Windows-ը որոշում է, թե ինչպես դասակարգել ստացված ցանցը, և այդ դասակարգումն է որոշում, թե որ firewall-ի կանոնները կիրառվեն ինտերֆեյսի վրա։
Դարպասի վրա հաջող դոմենային նույնականացումը ապացույց է հաշվի մասին։ Դա ապացույց չէ, որ վերջնակետը ցանցը նույնականացրել է դոմենի կարգավորիչի նկատմամբ, և հենց դա է ներկայացնում դոմենի կատեգորիան։
Այդ պատճառով մեքենան կարող է լինել դոմենին միացված, միանալ դոմենային հաշվով և միևնույն ժամանակ ցույց տալ «Հանրային»։ Դասակարգումը ցանցի վերաբերյալ տեղական որոշում է, ոչ թե հայտարարություն թունելը բացած հավատարմագրերի մասին։ Հաշիվը կարող է լիովին վավեր լինել, մինչ պիտակը մնում է այնտեղ, որտեղից սկսվել է։
Երեք կատեգորիա, որոնցից մեկը չեք կարող սահմանել
Windows-ը տրամադրում է երեք կատեգորիա, և դրանցից միայն երկուսը կարող է նշանակել ադմինիստրատորը։ Երրորդը որոշում է օպերացիոն համակարգը՝ ցանցը դոմենի կարգավորիչի նկատմամբ հաջողությամբ նույնականացնելուց հետո։
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedԵրրորդ հրամանը ձախողվում է, և դա փաստաթղթավորված վարքագիծ է, ոչ թե թույլտվությունների խնդիր։ Հրամանի սեփական տեղեկատուն նշում է, որ դոմենի կատեգորիան այս ճանապարհով հնարավոր չէ նշանակել, քանի որ Windows-ը այն ածանցում է դոմենային նույնականացումից։ Սխալը տեսնելը օգտակար հաստատում է, որ կատեգորիան հետևանք է, ոչ թե կարգավորում։
Կարդացեք առաջին հրամանը այն վերջնակետում, որի երթևեկությունը արգելափակված է։ Դարպասի սեփական ինտերֆեյսի դասակարգումը ոչինչ չի ասում այն մասին, թե ինչպես է յուրաքանչյուր միացող աշխատանքային կայան դասակարգել իր թունելը։
Կանոնները հետևում են այն պրոֆիլին, որի համար գրված են
Երբ կատեգորիան հայտնի է, բացակայող մուտքը սովորաբար ինքն է բացատրվում։ Windows Firewall-ի յուրաքանչյուր կանոն ունի պրոֆիլի շրջանակ, և դոմենին սահմանափակված կանոնը չի գործում, երբ ինտերֆեյսը հանրային է։ Երեք հրաման սա տեսությունից պատասխան են դարձնում, և երրորդը բռնում է այն դեպքը, երբ պրոֆիլը երբեք խնդիրը չի եղել:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionԵրկրորդ հրամանն այն է, որը անորոշ զեկույցը վերածում է ուղղման։ Եթե կանոնը սահմանափակված է հեռավոր հասցեների տիրույթով, որը չի ներառում VPN լողավազանը, ապա պրոֆիլի փոփոխությունը նույնպես չի օգնի։
Ստուգեք նաև մուտքային երթևեկության լռելյայն գործողությունը։ Մեքենայում, որտեղ մուտքայինը լռելյայն արգելափակված է, բացակայող թույլտվության կանոնը լռություն է առաջացնում՝ մերժման փոխարեն։ Հաճախորդի կողմից դա նույնական տեսք ունի երթուղավորման ձախողման հետ, և դրա համար է, որ այս տոմսերից շատերը սկսվում են սխալ ենթադրությամբ։
Պարզեք, թե որ մեքենան է կիրառում կանոնը
Նախքան կատեգորիան փոխելը՝ պարզեք, թե որտեղ է տեղի ունենում արգելափակումը։ Համօգտագործումը հյուրընկալող սերվերը կարող է ունենալ սեփական firewall, և նրա կանոնները գործում են VPN լողավազանից եկող երթևեկության վրա՝ անկախ նրանից, թե ինչպես է հաճախորդը պիտակել իր ադապտերը։ Այնտեղի մերժումն անտեսանելի է ձեր գործարկած յուրաքանչյուր տեղական հրամանի համար, և հաճախորդի կողմը միայն հաղորդում է, որ ռեսուրսը հասանելի չէ։ Փորձարկեք նպատակակետի սեփական կանոնները՝ նախքան հաճախորդի դասակարգմանը դիպչելը։
Փորձարկեք հաճախորդից դեպի կոնկրետ պորտ, ապա համեմատեք նույն VPN-ի մեկ այլ հոսթից կատարված փորձարկման հետ։ Եթե երկուսն էլ ձախողվեն, խնդիրը նպատակակետում կամ ուղու վրա է։ Եթե ձախողվի միայն մեկը, տարբերությունը տեղական է այդ մեքենայի համար, և պրոֆիլի կատեգորիան դառնում է հավանական պատճառ։
Հիշեք նաև ուղղությունը։ Մուտքային SMB-ն թույլատրող կանոնը ոչինչ չի անում այն հաճախորդի համար, ում սեփական ելքային կանոնն արգելափակում է նույն երթևեկությունը։ Ֆայլերի զննարկիչի պատուհանից երկու ձախողումներն անտարբերելի են, ուստի փորձարկեք յուրաքանչյուր ուղղությունը առանձին՝ նախքան որևէ բան խմբագրելը։
Ինչ անել ամեն ինչ նորից պիտակավորելու փոխարեն
Չճանաչված ցանցը «Մասնավոր» դարձնելը լայն կանոնը բավարարելու համար իրական փոփոխություն է իրական հետևանքներով։ «Մասնավոր» պրոֆիլը սովորաբար ավելի շատ հայտնաբերում և ավելի շատ մուտքային երթևեկություն է թույլատրում, քան հանրայինը։
Եթե նպատակն այն է, որ կոնկրետ ծառայությունը հասնի VPN հաճախորդներին, սահմանափակեք կանոնը հեռավոր հասցեով, ոչ թե պրոֆիլով։ Դա ճշգրիտ արտահայտում է մտադրությունը, աշխատում է անկախ դասակարգումից և կախված չէ նրանից, թե արդյոք Windows-ը ճիշտ է գուշակում վիրտուալ ադապտերի մասին։ Այն նաև դիմանում է հաճախորդի թարմացմանը, որը վերադասակարգում է ինտերֆեյսը։ Գրեք լողավազանը կանոնի մեջ, և հաջորդ մարդը կկարողանա կարդալ մտադրությունը՝ առանց հարցնելու։
Եթե դոմենի կատեգորիան իսկապես սպասվում է և երբեք չի հայտնվում, դա առանձին հետաքննություն է։ Ստուգեք, որ մեքենան դոմենին միացված է, որ այն կարող է թունելով հասնել դոմենի կարգավորիչին, և որ անվտանգ ալիքը առողջ է։ Այդ երեք հրամանները պատասխանում են դրան առանց ռեեստրի ոչ մի խմբագրման:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comԱյդ երեքը պատասխանում են, թե արդյոք վերջնակետը կարող էր ընդհանրապես նույնականացնել ցանցը։ Եթե այն չի կարող հասնել կարգավորիչին, դոմենի կատեգորիան երբեք չի նշանակվի, անկախ նրանից, թե քանի անգամ կվերակայվի ադապտերը։ Այն firewall-ի կանոնը, որի հետևից ընկել էիք, երբեք իսկական խնդիրը չի եղել, և պիտակը կոտրված ուղու ախտանիշ էր, ոչ թե պատճառ։