VPN-forrit blokkuð af opinbera eldveggsprófílnum í Windows

Tunnillinn þinn er uppi, gáttin svarar á ping og skráadeildin fær samt tímanút. Þessi samsetning er sjaldan leiðarvandamál: Windows hefur sett undirnet VPN-tengisins í Opinbert prófíl, og hver leyfisregla sem var skrifuð fyrir Einkaað eða Lén kom aldrei til framkvæmda. Ég hef rekist á þetta á fartölvum sem ná skrifstofunni fínt og á RRAS-netþjónum sem þjóna hverjum öðrum biðlara, og viðgerðin er stutt þegar prófíllinn sem á í hlut er nefndur. Hér er röðin sem ég vinn í, með athuguninni sem segir þér að stöðva fyrir næsta skref.

Finndu út á hvaða prófíl umferðin kemur í raun

Windows-eldveggurinn hefur ekki eitt altækt ham. Hvert tengt viðmót ber flokk, og innkomandi pakkar eru síaðir út frá flokki viðmótsins sem þeir koma inn á, svo prófíll VPN-tengisins ræður því hvað biðlari í tunnlinum nær, ekki Wi-Fi- eða Ethernet-tengið við hliðina. Lestu báðar staðreyndirnar áður en þú breytir einhverju:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

Við venjulega uppsetningu OpenVPN eða WireGuard birtist VPN-tengið sem óþekkt net og lendir í Opinbert, sem er sjálfgefið fyrir hvert net sem Windows getur ekki flokkað: enginn lénsstjóri svaraði yfir það og enginn gáttarprófíll passaði. Nafn viðmótsins skiptir engu hér, svo að kalla tengið „VPN“ eða „Corp“ breytir engu. DomainAuthenticated krefst vélar sem er tengd léninu , sem getur í raun náð lénsstjóra yfir það viðmót; klofinn tunnill sem ber aðeins eitt undirnet uppfyllir ekki skilyrðið.

Ef reglan sem þú þarft er þegar takmörkuð við VPN-safnið og gildir þegar fyrir flokkinn sem þú varst að lesa, stoppaðu hér: síað er ekki þitt lag, og næsti staður til að skoða er þjónustustillingin. Sú athugun tekur tíu sekúndur og sparar klukkustund af reglubreytingum. Flokkarnir og hvað hver um sig nær yfir eru skjalfest í tilvísuninni fyrir Get-NetConnectionProfile.

Staðfestu síun, ekki leiðsögn, áður en þú breytir reglum

Ping er veikt próf. ICMP getur farið í gegn á meðan þjónustuportinu er sleppt, og hýsill getur svarað frá LAN-inu á meðan hann neitar sömu beiðni yfir tunnilinn. Prófaðu portið sem biðlarinn þarfnast, frá biðlaranum:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Ef portprófið mistekst, aðskildu lögin tvö. Tunnil- eða leiðarvilla birtist venjulega sem ekkert svar frá gáttarfanginu yfirleitt, á meðan eldveggsslepping sýnir gátt sem svarar og þjónustuport sem gerir það ekki. Á Windows-netþjóni sem birtir safnið í gegnum RRAS skaltu keyra sama próf frá biðlara og lesa prófíl netþjónsins sjálfs: RAS-viðmótið getur setið í flokki þar sem innkomandi reglur nefna aldrei biðlarasviðið, og þess vegna þjónar vélin sínu LANi og hafnar hverjum biðlara í tunnlinum.

Þegar niðurstaðan er enn tvíræð skaltu skrá sleppingarnar fyrir prófílinn sem á í hlut og lesa þær:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Færslur sem nefna biðlarafangið og portið með DROP eru afgerandi, og þær segja þér líka hvaða reglu vantaði. Lóg sem er tómt á meðan SYN biðlarans birtist aldrei bendir uppstreymis frá hýslinum, svo farðu aftur í tunnilinn, NAT-regluna eða safnleiðina áður en þú snertir annan eldveggshlut.

Takmarkaðu eina innkomandi reglu við biðlarasafnið

Viðgerðin er ein innkomandi leyfisregla þar sem fjartengifangið er safnið, ekki allur heimurinn. Frá hækkaðri lotu:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Þegar þjónustan er einn tvíundarkóði, veldu forritstakmarkaða reglu með -Program frekar en portalista; það takmarkar undantekninguna bæði við ferlið og við upprunasviðið.

Prófílvalið er þar sem sama mistökin eru gerð í hina áttina. -Profile Public er nóg þegar tengið er Opinbert og verður áfram Opinbert. -Profile Any er verjanlegt þegar þjónustan verður að virka óháð því hvernig Windows flokkar tengið, en aðeins á meðan fjarsviðið helst. Það sem aldrei er verjanlegt er -RemoteAddress Any á Opinberum prófíli: sú regla fylgir fartölvunni inn í hvert kaffihús- og hótelnet sem hún tengist og opnar portið fyrir hvern þann sem deilir því undirneti.

Skráðu safnið við hlið reglunnar. -RemoteAddress 10.8.0.0/24 hættir hljóðlaust að passa þann dag sem VPN-safnið er endurnúmerað, og bilunin lítur nákvæmlega út eins og upphaflega villan, og þess vegna kostar hún annan eftirmiðdag. Nefndu reglur eftir þjónustunni og upprunasviðinu, hafðu þær saman með -Group, og lestu þær aftur hvenær sem skilgreining safnsins breytist. Regluskrá sem þú getur endurskoðað á einum skjá er betri en rétt regla sem enginn finnur.

Breyttu flokknum aðeins þegar flokkurinn er ákvörðunin

Að færa viðmótið yfir í Einkaað virkar líka, og það er röng sjálfgefin stilling. Einkaað-prófíllinn ber langan lista af innbyggðum leyfisreglum sem ná yfir skráa- og prentaradeilingu, netuppgötvun, fjartölvu og fleira eftir grunnlínu, svo að endurflokka VPN-tengið virkjar þær allar fyrir hvern biðlara í tunnlinum í einu. Ein takmörkuð regla veitir eina þjónustu fyrir eitt svið. Á fartölvu sem tengist líka ótraustum netum er sá munur ekki fagurfræðilegur.

Það eru tilvik þar sem flokkunin er í raun röng: alltaf á eða síðu-til-síðu tunnill sem ber skrifstofuundirnet er traust innviðir, og að merkja það tengi Einkaað er lögmæt hönnunarákvörðun, tekin einu sinni með stefnu og ekki fyrir hvert mál. Þegar þú gerir það skaltu gera það skýrt:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Á stýrðu tæki skaltu fyrst athuga hvort hópstefna eða MDM-grunnlína á stillinguna. Ef svo er er staðbundna breytingin afturkölluð við næstu uppfærslu og gpresult /h mun nefna stefnuna sem á hana; lagaðu það þar en ekki á endapunktinum.

Staðfestu frá báðum endum og skildu eftir slóð

Staðfestu flæðið sem notandinn tilkynnti, frá biðlaranum, eftir breytinguna:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Lokaðu síðan hringnum um það sem brotnar í næstu viku. Endurræstu hýsilinn og prófaðu aftur, því regla sem er takmörkuð við rangt prófíl heldur áfram að virka þar til tengið kemur aftur í annan flokk. Prófaðu frá öðrum biðlara, þar sem einn biðlari með úrelt leigugetu getur falið misræmi í safninu. Teldu reglurnar sem þú bættir við á móti þeim sem þú fjarlægðir, því skarast undantekningar eru leiðin sem tveggja lína lagfæring verður að síunarstefnu sem enginn getur endurskoðað.

Áður en þú telur því lokið:

• Prófíllinn sem nefndur er í reglunni er prófíllinn á viðmótinu sem umferðin kemur inn á.
• Fjarsviðið er VPN-safnið, og það safn passar við það sem netþjónninn úthlutar í raun.
• Engin regla sem þú bættir við notar -RemoteAddress Any á Opinberum prófíli.
• Ekkert var gert óvirkt til að prófið standist, og hver flokksbreyting skráir hver samþykkti hana.