VPN адаптериңиз эмне үчүн коомдук брандмауэр профилинде калат
Доменге кирүү тармакты домен катары классификациялабайт жана «Жеке» анын ордун баспайт. Адегенде эреженин профилин, анан аны колдонгон машинаны окуңуз.
Туннель иштеп жатат, аккаунт доменге каршы аутентификацияланды, бирок Windows байланышты дагы эле коомдук деп белгилейт. Ошондуктан домен профили үчүн жазылган брандмауэр эрежеси колдонулбайт жана файл бөлүшүү жеткиликсиз бойдон калат. Адаттагы оңдоо аракети — адаптерди «Жеке» абалына коюу, бул кайсы эрежелер колдонуларын өзгөртөт, бирок аутентификацияда эч нерсени өзгөртпөйт. Белги да, оңдоо да кеңири туура эмес түшүнүлөт, аларды бөлүү үчүн үч буйрук керек.
Туташкан аккаунт тармактын категориясы эмес
VPN туташуусу учурунда эки башка чечим кабыл алынат жана аларды аралаштыруу оңой. Шлюз аккаунттун туташа аларын чечет. Windows алынган тармакты кантип классификациялоону чечет, жана ошол классификация интерфейске кайсы брандмауэр эрежелери колдонуларын аныктайт.
Шлюздеги ийгиликтүү домендик аутентификация аккаунт жөнүндө далил. Бул акыркы чекит тармакты домен контроллеруна каршы аутентификациялаганынын далили эмес, жана домен категориясы так ушуну билдирет.
Ошондуктан машина доменге кошулган болушу, домендик аккаунт менен туташып, баары бир коомдук көрсөтүшү мүмкүн. Классификация тармак жөнүндө жергиликтүү чечим, туннелди ачкан ыйгарым укуктар жөнүндө билдирүү эмес. Аккаунт толук жарактуу болушу мүмкүн, ал эми белги башталган жеринде кала берет.
Үч категория, алардын бирин сиз белгилей албайсыз
Windows үч категорияны сунуштайт жана алардын экөөн гана администратор дайындай алат. Үчүнчүсүн операциялык система тармакты домен контроллеруна каршы ийгиликтүү аутентификациялагандан кийин чечет.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedҮчүнчү буйрук аткарылбайт, жана бул документтелген жүрүм-турум, укук маселеси эмес. Буйруктун өзүнүн маалымдамасы домен категориясын бул жол менен дайындоого болбойт деп айтат, анткени Windows аны домендик аутентификациядан алат. Катаны көрүү категориянын жөндөө эмес, натыйжа экенин пайдалуу ырастоо.
Биринчи буйрукту трафиги бөгөттөлгөн акыркы чекитте окуңуз. Шлюздун өз интерфейсинин классификациясы ар бир туташкан жумуш станциясынын өз туннелин кантип классификациялаганы жөнүндө эч нерсе айтпайт.
Эрежелер жазылган профилди ээрчишет
Категорияны билгенден кийин, жетишпеген жеткиликтүүлүк адатта өзү түшүндүрөт. Ар бир Windows Firewall эрежесинин профиль аймагы бар, жана доменге чектелген эреже интерфейс коомдук болгондо колдонулбайт. Үч буйрук муну теория эмес, жоопко айлантат, ал эми үчүнчүсү профиль эч качан маселе болбогон учурду кармайт:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionЭкинчи буйрук — бүдөмүк отчётту оңдоого айланткан буйрук. Эгер эреже VPN пулун камтыбаган алыскы даректердин диапазонуна чектелсе, профилди өзгөртүү да жардам бербейт.
Кирүү аракетинин демейки маанисин да текшериңиз. Кирүү демейки боюнча бөгөттөлгөн машинада уруксат эрежесинин жоктугу баш тартуунун ордуна үнсүздүк жаратат. Клиент тарабынан бул маршруттоо катасына окшош көрүнөт, ошондуктан ушундай билеттердин көбү туура эмес божомолдон башталат.
Эрежени кайсы машина колдонорун аныктаңыз
Категорияны өзгөртүүдөн мурун бөгөттөө кайда болорун аныктаңыз. Бөлүшүүнү хост кылган сервердин өз брандмауэри болушу мүмкүн, жана анын эрежелери клиент адаптерин кандай атаганына карабастан VPN пулунан келген трафикке колдонулат. Ал жердеги баш тартуу сиз иштеткен ар кандай жергиликтүү буйрукка көрүнбөйт, ал эми клиент тарабы ресурс жеткиликсиз экенин гана билдирет. Клиенттин классификациясына тийүүдөн мурун багыттоонун өз эрежелерин текшериңиз.
Клиенттен белгилүү портко чейин текшериңиз, анан ошол эле VPNдеги башка хосттон текшерүү менен салыштырыңыз. Экөө тең ийгиликсиз болсо, маселе багыттоодо же жолдо. Бирөө гана ийгиликсиз болсо, айырма ошол машинага жергиликтүү жана профиль категориясы ыктымал себепке айланат.
Багытты да эске алыңыз. Кирүүчү SMBге уруксат берген эреже өзүнүн чыгуучу эрежеси ошол эле трафикти бөгөттөгөн клиент үчүн эч нерсе кылбайт. Файл изилдөөчү терезесинен эки ийгиликсиздикти ажыратуу мүмкүн эмес, ошондуктан бир нерсени оңдоодон мурун ар бир багытты өзүнчө текшериңиз.
Баарын кайра белгилөөнүн ордуна эмне кылуу керек
Кенен эрежени канааттандыруу үчүн белгисиз тармакты «Жекеге» айландыруу — реалдуу кесепеттери бар реалдуу өзгөртүү. Жеке профиль адатта коомдуктан көбүрөөк табууга жана көбүрөөк кирүү трафигине уруксат берет.
Эгер максат белгилүү бир кызматтын VPN клиенттерине жетүүсү болсо, эрежени профиль боюнча эмес, алыскы дарек боюнча чектеңиз. Бул ниетти так билдирет, классификацияга карабастан иштейт жана Windows виртуалдык адаптер жөнүндө туура божомолдойбу дегенге көз каранды эмес. Интерфейсти кайра классификациялаган клиент жаңыртуусуна да туруштук берет. Пулду эрежеге жазыңыз, кийинки адам сурабастан ниетти окуй алат.
Эгер домен категориясы чын эле күтүлсө жана эч качан пайда болбосо, бул өзүнчө иликтөө. Машина доменге кошулганын, туннель аркылуу домен контроллеруна жете аларын жана коопсуз каналдын соо экенин текшериңиз. Ошол үч буйрук бир да регистрди оңдоосуз жооп берет:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comОшол үчөө акыркы чекит тармакты такыр аутентификациялай алмак беле деген суроого жооп берет. Эгер контроллерго жете албаса, домен категориясы эч качан дайындалбайт, адаптер канча жолу кайра коюлбасын. Сиз кууган брандмауэр эрежеси эч качан чыныгы маселе болгон эмес, ал эми белги себеп эмес, бузулган жолдун белгиси эле.