VPN клиенттері Windows желілік қалқанының қоғамдық профилімен бөгеледі

Windows VPN адаптерін Қоғамдық профильге жатқызады, сондықтан сіздің LAN ережелеріңіз ешқашан қолданылмайды. Профильді тексеріңіз, бір кіріс ережесін пулға шектеңіз, содан кейін портты тексеріңіз.

Туннеліңіз көтерілген, шлюз ping-ке жауап береді, ал файлдық ресурс әлі де уақыт бітіп қате береді. Бұл үйлесім сирек бағдарлау мәселесі болады: Windows VPN адаптерінің ішкі желісін Қоғамдық профильге орналастырды, ал Жеке немесе Домен профиліне жазылған әрбір рұқсат ережесі ешқашан қолданылмады. Мен мұны кеңсеге еш қиындықсыз жететін ноутбуктерде де, барлық басқа клиенттерге қызмет көрсететін RRAS серверлерінде де кездестірдім, ал жөндеу тиісті профильді атағаннан кейін қысқа. Міне, менің жұмыс тәртібім, келесі қадамның алдында қашан тоқтау керектігін айтатын тексерумен бірге.

Трафиктің қай профиль арқылы келетінін анықтаңыз

Windows желілік қалқанының бір ғана жаһандық режимі жоқ. Әрбір қосылған интерфейс санатты алып жүреді, ал кіріс пакеттері келетін интерфейстің санаты бойынша сүзіледі, сондықтан туннельдегі клиенттің неге қол жеткізетінін VPN адаптерінің профилі шешеді, қасындағы Wi-Fi немесе Ethernet адаптері емес. Бірдеңе өзгертудің алдында екі фактіні де оқып шығыңыз:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

OpenVPN немесе WireGuard стандартты орнатылғанда VPN адаптері белгісіз желі ретінде пайда болады және Қоғамдық профильге түседі, бұл Windows анықтай алмайтын кез келген желі үшін әдепкі мән: ол арқылы ешқандай домен контроллері жауап бермеді және ешбір шлюз профилі сәйкес келмеді. Интерфейс атауы мұнда маңызды емес, сондықтан адаптерді «VPN» немесе «Corp» деп атау ештеңені өзгертпейді. DomainAuthenticated доменге қосылған машинаны қажет етеді , ол осы интерфейс арқылы домен контроллеріне шынымен жететін болуы керек; бір ғана ішкі желіні тасымалдайтын бөлінген туннель бұл талапты қанағаттандырмайды.

Қажет ереже VPN пулына шектелген болса және сіз жаңа оқыған санатқа қолданылатын болса, осында тоқтаңыз: сүзу сіздің деңгейіңіз емес, келесі тексеру орны — қызмет конфигурациясы. Бұл тексеру он секунд алады және бір сағат ереже өңдеуді үнемдейді. Санат атаулары мен әрқайсысы нені қамтитыны мына жерде құжатталған: Get-NetConnectionProfile анықтамалық құжаттамасы.

Ережелерді өңдеуден бұрын сүзуді, бағдарлауды емес, растаңыз

Ping — әлсіз тест. ICMP өтіп жатқанда қызмет порты тасталуы мүмкін, ал хост LAN-нан жауап беріп, сол сұрауды туннель арқылы қабылдамауы мүмкін. Клиентке қажет портты клиенттің өзінен тексеріңіз:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Порт тесті сәтсіз болса, екі деңгейді ажыратыңыз. Туннель немесе маршрут ақауы әдетте шлюз мекенжайынан мүлдем жауап болмауы түрінде көрінеді, ал желілік қалқанның тастауы жауап беретін шлюзді және жауап бермейтін қызмет портын көрсетеді. Пулды RRAS арқылы жариялайтын Windows серверінде сол тесті клиенттен орындап, сервердің өз профилін оқыңыз: RAS интерфейсі кіріс ережелері клиент диапазонын ешқашан атамайтын санатта тұруы мүмкін, сондықтан машина өз LAN-ына қызмет көрсетіп, туннельдегі әрбір клиенттен бас тартады.

Нәтиже әлі екіұшты болса, тиісті профиль үшін тастауларды журналға жазып, оқып шығыңыз:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Клиент мекенжайы мен порты DROP-пен аталатын жазбалар шешуші болып табылады және қай ереженің жетіспейтінін де айтады. Ішінде ештеңе жоқ журнал, ал клиенттің SYN-і ешқашан пайда болмаса, хосттың алдындағы бөлікті көрсетеді, сондықтан басқа желілік қалқан нысанына тиюден бұрын туннельге, NAT ережесіне немесе пул маршрутына оралыңыз.

Бір кіріс ережесін клиент пулына шектеңіз

Жөндеу — қашықтағы мекенжайы әлем емес, пул болып табылатын бір кіріс рұқсат ережесі. Көтерілген сеанстан:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Қызмет бір бинарлық файл болса, порттар тізімінің орнына -Program параметрімен бағдарламаға шектелген ережені таңдаңыз; бұл ерекшелікті процеске де, бастау диапазонына да шектейді.

Профиль таңдау — сол қатенің кері бағытта жасалатын жері. -Profile Public адаптер Қоғамдық болып, солай қалса, жеткілікті. -Profile Any қызмет Windows адаптерді қалай жіктесе де жұмыс істеуі керек болса, ақталады, бірақ қашықтағы аясы сақталғанша ғана. Ешқашан ақталмайтыны — -RemoteAddress Any Қоғамдық профильде: бұл ереже ноутбукпен бірге ол қосылатын әрбір кафе мен қонақүй желісіне барады және сол ішкі желіні бөлісетін кез келген адамға портты ашады.

Пулды ереженің қасына жазып қойыңыз. -RemoteAddress 10.8.0.0/24 VPN пулы қайта нөмірленген күні үнсіз сәйкес келмей қалады, ал ақау дәл бастапқы қатеге ұқсайды, сондықтан екінші түстен кейінгі уақытты талап етеді. Ережелерді қызмет пен бастау диапазоны бойынша атаңыз, оларды -Group көмегімен бірге ұстаңыз, және пул анықтамасы өзгерген сайын қайта оқып шығыңыз. Бір экранда қарап шығуға болатын ережелер тізімі ешкім таба алмайтын дұрыс ережеден артық.

Санатты тек санат шешім болған кезде өзгертіңіз

Интерфейсті Жекеге ауыстыру да жұмыс істейді, және бұл дұрыс емес әдепкі мән. Жеке профиль кіріктірілген рұқсат ережелерінің ұзын тізімін алып жүреді: файл мен принтерді бөлісу, желіні анықтау, қашықтағы жұмыс үстелі және базалық сызыққа байланысты тағы басқалары, сондықтан VPN адаптерін қайта жіктеу олардың барлығын туннельдегі әрбір клиент үшін бірден қосады. Бір шектелген ереже бір қызметті бір диапазонға береді. Сенімсіз желілерге де қосылатын ноутбукте бұл айырмашылық косметикалық емес.

Классификация шынымен қате болатын жағдайлар бар: үнемі қосулы немесе сайттар арасындағы туннель кеңсе ішкі желісін тасымалдаса, ол сенімді инфрақұрылым, және бұл адаптерді Жеке деп белгілеу — заңды дизайн шешімі, ол саясат бойынша бір рет қабылданады, әр өтінім бойынша емес. Оны қабылдаған кезде анық жасаңыз:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Басқарылатын құрылғыда алдымен топтық саясат немесе MDM базалық сызығы параметрге ие ме, соны тексеріңіз. Ие болса, жергілікті өзгеріс келесі жаңартуда қайтарылады, ал gpresult /h оған ие саясатты атайды; оны сонда түзетіңіз, соңғы нүктеде емес.

Екі жақтан да тексеріп, із қалдырыңыз

Пайдаланушы хабарлаған ағынды клиенттен, өзгерістен кейін тексеріңіз:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Содан кейін келесі аптада бұзылатын нәрселер бойынша циклді жабыңыз. Хостты қайта жүктеп, қайта тексеріңіз, өйткені қате профильге шектелген ереже адаптер басқа санатта қайтып келгенше жұмысын жалғастырады. Екінші клиенттен тексеріңіз, өйткені ескірген жалдауы бар бір клиент пул сәйкессіздігін жасыра алады. Қосылған ережелерді алынғандармен салыстырыңыз, өйткені қабаттасатын ерекшеліктер — екі жолдық түзетудің ешкім тексере алмайтын сүзу саясатына айналу жолы.

Оны дайын деп жарияламас бұрын:

  • Ережеде аталған профиль — трафик келетін интерфейстің профилі.
  • Қашықтағы аясы — VPN пулы, және бұл пул сервер шынымен беретін нәрсеге сәйкес келеді.
  • Сіз қосқан ешбір ереже Қоғамдық профильде -RemoteAddress Any қолданбайды.
  • Тест өтуі үшін ештеңе өшірілген жоқ, және әрбір санат өзгерісі оны кім мақұлдағанын жазады.

Қатысты мақалалар