Mengapa adaptor VPN Anda tetap di profil firewall publik

Terowongannya aktif, akun sudah diautentikasi ke domain, tetapi Windows tetap melabeli koneksi sebagai publik. Karena itu aturan firewall yang ditulis untuk profil domain tidak berlaku, dan berbagi file tetap tidak terjangkau. Upaya perbaikan yang biasa dilakukan adalah menyetel adaptor ke privat, yang mengubah aturan mana yang berlaku tanpa mengubah apa pun pada autentikasi. Baik label maupun perbaikannya luas disalahpahami, dan memisahkan keduanya memerlukan tiga perintah.

Akun yang terhubung bukan kategori jaringannya

Dua keputusan berbeda terjadi selama koneksi VPN dan keduanya mudah dicampuradukkan. Gateway memutuskan apakah akun boleh terhubung. Windows memutuskan bagaimana mengklasifikasikan jaringan yang dihasilkan, dan klasifikasi itulah yang menentukan aturan firewall mana yang berlaku pada antarmuka.

Autentikasi domain yang berhasil di gateway adalah bukti tentang akun. Itu bukan bukti bahwa titik akhir telah mengautentikasi jaringan ke pengontrol domain, dan itulah yang sebenarnya diwakili kategori domain.

Itulah sebabnya sebuah mesin dapat tergabung dalam domain, terhubung dengan akun domain, dan tetap menampilkan publik. Klasifikasinya adalah penetapan lokal tentang jaringan, bukan pernyataan tentang kredensial yang membuka terowongan. Akun bisa sepenuhnya valid sementara label tetap di tempat awalnya.

Tiga kategori, satu di antaranya tidak dapat Anda tetapkan

Windows menampilkan tiga kategori dan hanya dua di antaranya dapat ditetapkan oleh administrator. Kategori ketiga ditentukan oleh sistem operasi setelah berhasil mengautentikasi jaringan ke pengontrol domain.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Perintah ketiga gagal, dan itu adalah perilaku yang didokumentasikan, bukan masalah izin. Referensi perintah itu sendiri menyatakan bahwa kategori domain tidak dapat ditetapkan dengan cara ini, karena Windows menurunkannya dari autentikasi domain. Melihat galatnya adalah konfirmasi berguna bahwa kategori itu konsekuensi, bukan pengaturan.

Baca perintah pertama pada titik akhir yang lalu lintasnya diblokir. Klasifikasi antarmuka gateway sendiri tidak memberi tahu Anda apa pun tentang bagaimana setiap stasiun kerja yang terhubung mengklasifikasikan terowongannya.

Aturan mengikuti profil tempat aturan ditulis

Setelah Anda tahu kategorinya, akses yang hilang biasanya menjelaskan dirinya sendiri. Setiap aturan Windows Firewall membawa cakupan profil, dan aturan yang dibatasi ke domain tidak berlaku saat antarmuka publik. Tiga perintah mengubahnya menjadi jawaban alih-alih teori, dan yang ketiga menangkap kasus ketika profil tidak pernah menjadi masalah:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Perintah kedua adalah yang mengubah laporan samar menjadi perbaikan. Jika aturan dibatasi ke rentang alamat jauh yang tidak mencakup kumpulan VPN, mengubah profil juga tidak akan membantu.

Periksa juga tindakan masuk bawaan. Pada mesin yang lalu lintas masuknya diblokir secara bawaan, aturan izin yang hilang menghasilkan kesunyian alih-alih penolakan. Dari sisi klien hal itu tampak identik dengan kegagalan perutean, dan itulah sebabnya banyak tiket seperti ini dimulai dengan asumsi yang salah.

Tentukan mesin mana yang menegakkan aturan

Sebelum mengubah kategori, tetapkan di mana pemblokiran terjadi. Server yang menghosting berbagi mungkin punya firewall sendiri, dan aturannya berlaku pada lalu lintas yang datang dari kumpulan VPN terlepas dari bagaimana klien melabeli adaptornya. Penolakan di sana tidak terlihat oleh perintah lokal apa pun yang Anda jalankan, dan sisi klien hanya melaporkan bahwa sumber daya tidak tersedia. Uji aturan tujuan itu sendiri sebelum menyentuh klasifikasi klien.

Uji dari klien ke port tertentu, lalu bandingkan dengan uji dari host lain di VPN yang sama. Jika keduanya gagal, masalahnya ada di tujuan atau di jalur. Jika hanya satu yang gagal, perbedaannya lokal pada mesin itu, dan kategori profil menjadi penyebab yang masuk akal.

Ingat juga arahnya. Aturan yang mengizinkan SMB masuk tidak melakukan apa pun bagi klien yang aturan keluarnya sendiri memblokir lalu lintas yang sama. Dari jendela penjelajah berkas kedua kegagalan tidak dapat dibedakan, jadi uji setiap arah secara terpisah sebelum menyunting apa pun.

Apa yang harus dilakukan alih-alih memberi label ulang semuanya

Membuat jaringan tak dikenal menjadi privat untuk memenuhi aturan yang luas adalah perubahan nyata dengan konsekuensi nyata. Profil privat biasanya mengizinkan lebih banyak penemuan dan lebih banyak lalu lintas masuk daripada profil publik.

Jika tujuannya adalah membiarkan layanan tertentu menjangkau klien VPN, batasi aturan berdasarkan alamat jauh alih-alih berdasarkan profil. Itu mengungkapkan maksud secara tepat, bekerja terlepas dari klasifikasi, dan tidak bergantung pada Windows menebak dengan benar tentang adaptor virtual. Itu juga bertahan dari pembaruan klien yang mengklasifikasi ulang antarmuka. Tulis kumpulan alamatnya ke dalam aturan dan orang berikutnya dapat membaca maksudnya tanpa bertanya.

Jika kategori domain benar-benar diharapkan dan tidak pernah muncul, itu penyelidikan terpisah. Periksa bahwa mesin tergabung dalam domain, dapat menjangkau pengontrol domain melalui terowongan, dan saluran amannya sehat. Ketiga perintah itu menjawabnya tanpa satu pun suntingan registri:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Ketiganya menjawab apakah titik akhir bisa mengautentikasi jaringan sama sekali. Jika tidak dapat menjangkau pengontrol, kategori domain tidak akan pernah ditetapkan, berapa kali pun adaptor direset. Aturan firewall yang Anda kejar tidak pernah menjadi masalah sebenarnya, dan labelnya adalah gejala dari jalur yang rusak, bukan penyebab.