VPN кардарлары Windows коргоо дубалынын коомдук профили менен бөгөттөлөт

Туннелиңиз көтөрүлгөн, шлюз ping'ге жооп берет, ал эми файлдык ресурс дагы эле убакыт бүтүп ката берет. Бул айкалыш сейрек маршруттоо маселеси болот: Windows VPN адаптеринин ички тармагын Коомдук профилге жайгаштырды, ал эми Жеке же Домен профили үчүн жазылган ар бир уруксат эрежеси эч качан колдонулган жок. Мен муну кеңсеге эч кыйынчылыксыз жеткен ноутбуктарда да, бардык башка кардарларга кызмат көрсөткөн RRAS серверлеринде да кезиктирдим, ал эми оңдоо тиешелүү профилди атагандан кийин кыска. Мына менин иштөө тартибим, кийинки кадамдын алдында качан токтогонду айткан текшерүү менен бирге.

Трафиктин кайсы профиль аркылуу келерин аныктаңыз

Windows коргоо дубалынын бирдиктүү глобалдык режими жок. Ар бир туташкан интерфейс категория алып жүрөт, ал эми кирүү пакеттери келген интерфейстин категориясы боюнча чыпкаланат, ошондуктан туннелдеги кардардын эмнеге жете аларын VPN адаптеринин профили чечет, жанындагы Wi-Fi же Ethernet адаптери эмес. Бир нерсени өзгөртүүдөн мурун эки фактыны тең окуп чыгыңыз:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

OpenVPN же WireGuard стандарттуу орнотулганда VPN адаптери белгисиз тармак катары көрүнүп, Коомдук профилге түшөт, бул Windows аныктай албаган ар кандай тармак үчүн демейки маани: ал аркылуу эч бир домен контроллери жооп берген жок жана эч бир шлюз профили дал келген жок. Интерфейстин аталышы бул жерде маанилүү эмес, ошондуктан адаптерди «VPN» же «Corp» деп атоо эч нерсени өзгөртпөйт. DomainAuthenticated доменге кошулган машинаны талап кылат , ал ошол интерфейс аркылуу домен контроллерине чындап жете алышы керек; бир гана ички тармакты ташыган бөлүнгөн туннель бул талапты канааттандырбайт.

Эгер керектүү эреже VPN пулуна чектелген болсо жана сиз жаңы окуган категорияга колдонулса, ушул жерде токтоңуз: чыпкалоо сиздин деңгээлиңиз эмес, кийинки текшерүү жери — кызмат конфигурациясы. Бул текшерүү он секунд алат жана бир саат эреже оңдоону үнөмдөйт. Категория аттары жана ар бири эмнени камтыйт, мында документтелген: Get-NetConnectionProfile боюнча маалымдама документте.

Эрежелерди оңдоодон мурун чыпкалоону, маршруттоону эмес, ырастаңыз

Ping — алсыз тест. ICMP өтүп жатканда кызмат порту ташталышы мүмкүн, ал эми хост LAN'дан жооп берип, ошол эле сурамды туннель аркылуу четке кагышы мүмкүн. Кардарга керектүү портту кардардын өзүнөн текшериңиз:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Порт тести ийгиликсиз болсо, эки катмарды ажыратыңыз. Туннель же маршрут бузулушу адатта шлюз дарегинен такыр жооп болбошу түрүндө көрүнөт, ал эми коргоо дубалынын таштоосу жооп берген шлюзду жана жооп бербеген кызмат портун көрсөтөт. Пулду RRAS аркылуу жарыялаган Windows серверинде ошол эле тестти кардардан аткарып, сервердин өз профилин окуңуз: RAS интерфейси кирүү эрежелери кардар диапазонун эч качан эске албаган категорияда турушу мүмкүн, ошондуктан машина өз LAN'ына кызмат кылып, туннелдеги ар бир кардардан баш тартат.

Жыйынтык дагы эки маанилүү болсо, тиешелүү профиль үчүн таштоолорду журналга жазып, аларды окуп чыгыңыз:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Кардардын дареги менен порту DROP менен аталган жазуулар чечкиндүү жана кайсы эреженин жетишпегенин да айтып берет. Ичинде эч нерсе жок журнал, ал эми кардардын SYN'и эч качан пайда болбосо, хосттун алдындагы бөлүктү көрсөтөт, ошондуктан башка коргоо дубалы объектисине тийүүдөн мурун туннелге, NAT эрежесине же пул маршрутуна кайтыңыз.

Бир кирүү эрежесин кардар пулуна чектеңиз

Оңдоо — алыскы дареги дүйнө эмес, пул болгон бир кирүү уруксат эрежеси. Көтөрүлгөн сессиядан:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Кызмат бир бинардык файл болсо, порттор тизмесинин ордуна -Program параметри менен программага чектелген эрежени тандаңыз; бул өзгөчөлүктү процесске да, баштоо диапазонуна да чектейт.

Профиль тандоо — ошол эле катанын карама-каршы багытта жасалган жери. -Profile Public адаптер Коомдук болуп, ошондой бойдон калса, жетиштүү. -Profile Any кызмат Windows адаптерди кантип классификациялаганына карабастан иштеши керек болсо, акталат, бирок алыскы чөйрө сакталганга чейин гана. Эч качан акталбаган нерсе — -RemoteAddress Any Коомдук профилде: бул эреже ноутбук менен бирге ал туташкан ар бир кафе жана мейманкана тармагына барат жана ошол ички тармакты бөлүшкөн ар кимге портту ачат.

Пулду эреженин жанына жазып коюңуз. -RemoteAddress 10.8.0.0/24 VPN пулу кайра номурланган күнү үнсүз дал келбей калат, ал эми бузулуу дал баштапкы катага окшоп көрүнөт, ошондуктан экинчи түштөн кийинки убакытты талап кылат. Эрежелерди кызмат жана баштоо диапазону боюнча атаңыз, аларды -Group көмөгү менен бирге кармаңыз, жана пул аныктамасы өзгөргөн сайын кайра окуп чыгыңыз. Бир экранда карап чыгууга болгон эрежелер тизмеси эч ким таба албаган туура эрежеден артык.

Категорияны категория чечим болгондо гана өзгөртүңүз

Интерфейсти Жекеге которуу да иштейт жана бул туура эмес демейки маани. Жеке профиль файл жана принтер бөлүшүүнү, тармакты аныктоону, алыскы иш тактасын жана базалык сызыкка жараша дагы башкаларды камтыган узун тизмедеги курулган уруксат эрежелерин алып жүрөт, ошондуктан VPN адаптерин кайра классификациялоо аларды туннелдеги ар бир кардар үчүн бир заматта күйгүзөт. Бир чектелген эреже бир кызматты бир диапазонго берет. Ишенимсиз тармактарга да кошулган ноутбукта бул айырма косметикалык эмес.

Классификация чындап туура эмес болгон учурлар бар: дайыма күйүк же сайттар аралык туннель кеңсе ички тармагын ташыса, ал ишенимдүү инфраструктура, жана бул адаптерди Жеке деп белгилөө — мыйзамдуу долбоордук чечим, ал саясат боюнча бир жолу кабыл алынат, ар бир өтүнүч боюнча эмес. Аны кабыл алганда ачык жасаңыз:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Башкарылуучу түзмөктө алгач топтук саясат же MDM базалык сызыгы бул параметрге ээби, аны текшериңиз. Ээ болсо, жергиликтүү өзгөртүү кийинки жаңыртууда кайтарылат, ал эми gpresult /h ага ээ болгон саясатты атайт; аны ошол жерде оңдоңуз, акыркы чекитте эмес.

Эки тараптан тең текшерип, из калтырыңыз

Колдонуучу билдирген агымды кардардан, өзгөртүүдөн кийин текшериңиз:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Андан кийин кийинки жумада бузула турган нерселер боюнча циклди жабыңыз. Хостту кайра жүктөп, кайра текшериңиз, анткени туура эмес профилге чектелген эреже адаптер башка категорияда кайтып келгенге чейин иштей берет. Экинчи кардардан текшериңиз, анткени эскирген ижарасы бар бир кардар пул дал келбестигин жашырышы мүмкүн. Кошулган эрежелерди алынгандар менен салыштырыңыз, анткени кабатталган өзгөчөлүктөр — эки саптагы оңдоонун эч ким текшере албаган чыпкалоо саясатына айлануу жолу.

Аны даяр деп жарыялоодон мурун:

• Эрежеде аталган профиль — трафик келген интерфейстин профили.
• Алыскы чөйрө — VPN пулу, жана бул пул сервер чындап берген нерсеге дал келет.
• Сиз кошкон эч бир эреже Коомдук профилде -RemoteAddress Any колдонбойт.
• Тест өтүшү үчүн эч нерсе өчүрүлгөн жок, жана ар бир категория өзгөрүүсү аны ким жактырганын жазат.