Af hverju VPN-tengingin þín helst á opinberu eldveggsprófílnum

Göngin eru uppi, reikningurinn hefur verið staðfestur gagnvart léninu, og Windows merkir samt tenginguna sem opinbera. Þess vegna gildir eldveggsregla sem skrifuð er fyrir lénsprófílinn ekki, og skráardeilingin er áfram óaðgengileg. Venjulega viðbótin er að setja tengið í Einka, sem breytir því hvaða reglur gilda án þess að breyta nokkru um staðfestinguna. Bæði merkið og viðbótin eru víða misskilin, og að aðskilja þau krefst þriggja skipana.

Reikningurinn sem tengdist er ekki flokkur netsins

Tvær ólíkar ákvarðanir eru teknar við VPN-tengingu og auðvelt er að rugla þeim saman. Gáttin ákveður hvort reikningnum sé heimilt að tengjast. Windows ákveður hvernig flokka skuli netið sem verður til, og sú flokkun ræður því hvaða eldveggsreglur gilda um tengið.

Árangursrík lénsstaðfesting í gáttinni er sönnun um reikninginn. Hún er ekki sönnun þess að endapunkturinn hafi staðfest netið gagnvart lénsstjóra, og það er einmitt það sem lénsflokkurinn táknar.

Þess vegna getur vél verið í léni, tengst með lénsreikningi og samt sýnt opinbert. Flokkunin er staðbundin ákvörðun um netið, ekki yfirlýsing um skilríkin sem opnuðu göngin. Reikningurinn getur verið fullgildur á meðan merkið helst þar sem það byrjaði.

Þrír flokkar, einum getur þú ekki stillt

Windows býður þrjá flokka og aðeins er hægt að úthluta tveimur þeirra af stjórnanda. Þann þriðja ákveður stýrikerfið eftir að það hefur staðfest netið gagnvart lénsstjóra.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Þriðja skipunin mistekst, og það er skjalfest hegðun en ekki vandamál með heimildir. Tilvísun skipunarinnar sjálfrar segir að ekki sé hægt að úthluta lénsflokknum á þennan hátt, því Windows leiðir hann af lénsstaðfestingu. Að sjá villuna er gagnleg staðfesting á að flokkurinn sé afleiðing en ekki stilling.

Lestu fyrstu skipunina á endapunktinum sem verið er að loka á umferðina frá. Flokkun gáttarinnar á eigin tengi segir þér ekkert um hvernig hver tengdur vinnustöð flokkaði göngin sín.

Reglur fylgja prófílnum sem þær voru skrifaðar fyrir

Þegar flokkurinn er þekktur skýrist aðgangsleysið yfirleitt sjálft. Sérhver Windows Firewall-regla ber prófílssvið, og regla sem er bundin við lén gildir ekki þegar tengið er opið. Þrjár skipanir gera þetta að svari en ekki kenningu, og sú þriðja grípur tilfellið þar sem prófíllinn var aldrei vandamálið:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Önnur skipunin er sú sem breytir óljósri skýrslu í viðbót. Ef reglan er bundin við svið fjarlægra vistfanga sem inniheldur ekki VPN-hópinn hjálpar prófílsbreytingin ekki heldur.

Athugaðu einnig sjálfgefna aðgerð fyrir innkomna umferð. Á vél þar sem innkominni umferð er lokað sjálfgefið veldur skortur á leyfisreglu þögn frekar en höfnun. Frá hlið biðlarans lítur það nákvæmlega eins út og bilun í leiðsögn, og þess vegna byrja svo mörg þessara mála á rangri forsendu.

Finndu út hvaða vél framfylgir reglunni

Áður en þú breytir flokki skaltu staðfesta hvar lokunin á sér stað. Þjónninn sem hýsir deilinguna getur haft eigin eldvegg, og reglur hans gilda um umferðina sem kemur frá VPN-hópnum óháð því hvernig biðlarinn merkti tengið sitt. Höfnun þar er ósýnileg hverri staðbundinni skipun sem þú keyrir, og biðlarinn tilkynnir aðeins að auðlindin sé ekki tiltæk. Prófaðu eigin reglur áfangastaðarins áður en þú snertir flokkun biðlarans.

Prófaðu frá biðlaranum að tiltekinni gátt og berðu síðan saman við próf frá öðrum hýsil í sama VPN. Ef bæði mistakast er vandamálið á áfangastaðnum eða á leiðinni. Ef aðeins annað mistekst er munurinn staðbundinn á þeirri vél, og prófílsflokkurinn verður líkleg orsök.

Hafðu stefnuna í huga líka. Regla sem leyfir innkomið SMB gerir ekkert fyrir biðlara þar sem eigin útleiðarregla lokar á sömu umferð. Frá skráarvafraglugga er ekki hægt að greina bilunina tvær í sundur, svo prófaðu hvora stefnu fyrir sig áður en þú breytir nokkru.

Hvað á að gera í stað þess að merkja allt upp á nýtt

Að gera óþekkt net að Einka til að fullnægja breiðri reglu er raunveruleg breyting með raunverulegum afleiðingum. Einkaprófíllinn leyfir venjulega meiri uppgötvun og meiri innkomna umferð en sá opinberi.

Ef markmiðið er að leyfa tiltekinni þjónustu að ná til VPN-biðlara skaltu takmarka regluna við fjarlægt vistfang í stað prófíls. Það lýsir fyrirætluninni nákvæmlega, virkar óháð flokkun og er ekki háð því að Windows giski rétt um sýndartengi. Það stendur einnig af sér uppfærslu biðlarans sem flokkar tengið upp á nýtt. Skrifaðu hópinn í regluna og næsta manneskja getur lesið fyrirætlunina án þess að spyrja.

Ef lénsflokksins er raunverulega vænst og hann birtist aldrei er það sérstök rannsókn. Athugaðu að vélin sé í léni, að hún nái lénsstjóra gegnum göngin og að örugga rásin sé heilbrigð. Þessar þrjár skipanir svara því án einnar einustu skrásetningarbreytingar:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Þessar þrjár svara því hvort endapunkturinn hefði yfirleitt getað staðfest netið. Ef hann nær ekki stjóranum verður lénsflokknum aldrei úthlutað, sama hversu oft tengið er endurstillt. Eldveggsreglan sem þú varst að elta var aldrei raunverulega vandamálið, og merkið var einkenni um rofna leið en ekki orsök.