VPN адаптеріңіз неге қоғамдық брандмауэр профилінде қалады
Доменге кіру желіні домен ретінде жіктемейді, ал «Жеке» оның орнын баспайды. Алдымен ереженің профилін, содан кейін оны қолданатын машинаны оқыңыз.
Туннель жұмыс істеп тұр, тіркелгі доменге қарсы аутентификацияланды, бірақ Windows қосылымды әлі де қоғамдық деп белгілейді. Сондықтан домен профилі үшін жазылған брандмауэр ережесі қолданылмайды және файл бөлісу қолжетімсіз болып қалады. Әдеттегі түзету әрекеті — адаптерді «Жекеге» қою, бұл қандай ережелердің қолданылатынын өзгертеді, бірақ аутентификацияда ештеңені өзгертпейді. Белгі де, түзету де кеңінен дұрыс түсінілмейді, ал оларды ажырату үшін үш команда керек.
Қосылған тіркелгі желінің санаты емес
VPN қосылымы кезінде екі түрлі шешім қабылданады және оларды шатастыру оңай. Шлюз тіркелгінің қосылуына болатынын шешеді. Windows алынған желіні қалай жіктеуді шешеді, және дәл осы жіктеу интерфейске қандай брандмауэр ережелерінің қолданылатынын анықтайды.
Шлюздегі сәтті домендік аутентификация тіркелгі туралы дәлел. Бұл соңғы нүктенің желіні домен контроллеріне қарсы аутентификациялағанының дәлелі емес, және домен санаты дәл соны білдіреді.
Сондықтан машина доменге қосылған болып, домендік тіркелгімен қосылып, бәрібір қоғамдық көрсетуі мүмкін. Жіктеу желі туралы жергілікті шешім, туннельді ашқан тіркелгі деректері туралы мәлімдеме емес. Тіркелгі толық жарамды болуы мүмкін, ал белгі басталған жерінде қала береді.
Үш санат, оның біреуін сіз орната алмайсыз
Windows үш санат ұсынады және оның тек екеуін ғана әкімші тағайындай алады. Үшіншісін операциялық жүйе желіні домен контроллеріне қарсы сәтті аутентификациялағаннан кейін шешеді.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedҮшінші команда орындалмайды, және бұл құжатталған мінез-құлық, рұқсат мәселесі емес. Команданың өз анықтамасы домен санатын бұлай тағайындауға болмайтынын айтады, өйткені Windows оны домендік аутентификациядан шығарады. Қатені көру санаттың параметр емес, салдар екенінің пайдалы растауы.
Бірінші команданы трафигі бұғатталған соңғы нүктеде оқыңыз. Шлюздің өз интерфейсінің жіктелуі әрбір қосылатын жұмыс станциясының өз туннелін қалай жіктегені туралы ештеңе айтпайды.
Ережелер жазылған профильді ұстанады
Санатты білгеннен кейін жетіспеген қолжетімділік әдетте өзін өзі түсіндіреді. Әрбір Windows Firewall ережесінің профиль ауқымы бар, және доменге шектелген ереже интерфейс қоғамдық болғанда қолданылмайды. Үш команда мұны теория емес, жауапқа айналдырады, ал үшіншісі профиль ешқашан мәселе болмаған жағдайды ұстайды:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionЕкінші команда — бұлыңғыр есепті түзетуге айналдыратын команда. Егер ереже VPN пулын қамтымайтын қашықтағы мекенжайлар ауқымына шектелсе, профильді өзгерту де көмектеспейді.
Кіріс әрекетінің әдепкі мәнін де тексеріңіз. Кіріс әдепкі бойынша бұғатталған машинада рұқсат ережесінің болмауы бас тартудың орнына үнсіздік туғызады. Клиент жағынан бұл маршруттау ақауына ұқсайды, сондықтан мұндай билеттердің көбі қате болжамнан басталады.
Ережені қай машина қолданатынын анықтаңыз
Санатты өзгерту алдында бұғаттау қай жерде болатынын анықтаңыз. Бөлісуді орналастырған сервердің өз брандмауэрі болуы мүмкін, және оның ережелері клиент адаптерін қалай атағанына қарамастан VPN пулынан келетін трафикке қолданылады. Ондағы бас тарту сіз іске қосқан кез келген жергілікті командаға көрінбейді, ал клиент жағы ресурстың қолжетімсіз екенін ғана хабарлайды. Клиенттің жіктелуіне тиіспес бұрын мақсаттың өз ережелерін тексеріңіз.
Клиенттен нақты портқа дейін тексеріңіз, содан кейін сол VPN-дегі басқа хосттан жасалған тестпен салыстырыңыз. Екеуі де сәтсіз болса, мәселе мақсатта немесе жолда. Тек біреуі сәтсіз болса, айырмашылық сол машинаға жергілікті және профиль санаты ықтимал себепке айналады.
Бағытты да ескеріңіз. Кіріс SMB-ге рұқсат беретін ереже өзінің шығыс ережесі сол трафикті бұғаттайтын клиент үшін ештеңе істемейді. Файл зерттеушісі терезесінен екі ақауды ажырату мүмкін емес, сондықтан бірдеңені өңдеусіз бұрын әр бағытты бөлек тексеріңіз.
Барлығын қайта белгілеудің орнына не істеу керек
Кең ережені қанағаттандыру үшін белгісіз желіні «Жекеге» айналдыру — нақты салдарлары бар нақты өзгеріс. Жеке профиль әдетте қоғамдықтан көбірек табуды және көбірек кіріс трафигін рұқсат етеді.
Егер мақсат белгілі бір қызметтің VPN клиенттеріне жетуі болса, ережені профиль бойынша емес, қашықтағы мекенжай бойынша шектеңіз. Бұл ниетті дәл білдіреді, жіктеуге тәуелсіз жұмыс істейді және Windows-тың виртуалды адаптер туралы дұрыс болжауына тәуелді емес. Ол интерфейсті қайта жіктейтін клиент жаңартуына да төзімді. Пулды ережеге жазыңыз, келесі адам сұрамай-ақ ниетті оқи алады.
Егер домен санаты шынымен күтілсе және ешқашан пайда болмаса, бұл бөлек тергеу. Машинаның доменге қосылғанын, туннель арқылы домен контроллеріне жете алатынын және қауіпсіз арнаның сау екенін тексеріңіз. Осы үш команда бірде-бір тізілім өңдеуінсіз жауап береді:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comОсы үшеуі соңғы нүктенің желіні мүлдем аутентификациялай алғанына жауап береді. Егер ол контроллерге жете алмаса, домен санаты ешқашан тағайындалмайды, адаптер қанша рет қалпына келтірілсе де. Сіз қуған брандмауэр ережесі ешқашан нағыз мәселе болған емес, ал белгі себеп емес, бүлінген жолдың белгісі еді.