Firwat Ären VPN-Adapter um ëffentleche Firewallprofil bleift
Eng Domän-Ënnerschrëft klassifizéiert den Netzwierk net als Domän, an Privat ass keng Ersatzléisung. Liest de Profil vun der Regel an dann de Rechner, deen se ëmsetzt.
Den Tunnel ass aktiv, de Kont ass géint d’Domän authentifizéiert, an Windows etikettéiert d’Verbindung nach ëmmer als Ëffentlech. Dofir gëllt eng Firewallregel, déi fir den Domänprofil geschriwwe gouf, net, an d’Dateifreigab bleift onerreechbar. Den üblechen Reparaturversuch ass, den Adapter op Privat ze setzen, wat ännert, wéi eng Regele gëllen, awer näischt un der Authentifikatioun ännert. Souwuel d’Etikett wéi och d’Reparatur ginn allgemeng falsch verstanen, an hir Trennung brauch dräi Kommandoen.
De Kont, deen sech agewielt huet, ass net d’Kategorie vum Netzwierk
Wärend enger VPN-Verbindung gi sech zwou verschidden Entscheidunge gefällt, an et ass einfach se ze verwiesselen. D’Gateway entscheet, ob de Kont sech däerf verbannen. Windows entscheet, wéi den entstanenen Netzwierk klassifizéiert gëtt, an déi Klassifikatioun bestëmmt, wéi eng Firewallregele fir d’Interface gëllen.
Eng erfolgreich Domän-Authentifikatioun um Gateway ass eng Beweis iwwer de Kont. Si ass keng Beweis datt den Endpunkt den Netzwierk géint en Domäncontroller authentifizéiert huet, an genau dat stellt d’Domänkategorie duer.
Dofir kann e Rechner an enger Domän sinn, sech mat engem Domänkont verbannen a trotzdem Ëffentlech weisen. D’Klassifikatioun ass eng lokal Bestëmmung iwwer den Netzwierk, keng Ausso iwwer d’Berechtegungen, déi den Tunnel opgemaach hunn. De Kont kann komplett valabel sinn, während d’Etikett do bleift, wou et ugefaangen huet.
Dräi Kategorien, eng dovun kënnt Dir net astellen
Windows bitt dräi Kategorien an nëmmen zwou dovu kënnen vun engem Administrateur zougewisen ginn. Déi drëtt entscheet d’Betribssystem, nodeems et den Netzwierk erfollegräich géint en Domäncontroller authentifizéiert huet.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedDen drëtte Kommando schléit fehl, an dat ass dat dokumentéiert Verhalen an net e Problem mat Berechtegungen. D’Referenz vum Kommando selwer seet, datt d’Domänkategorie net sou zougewisen ka ginn, well Windows se aus der Domän-Authentifikatioun ofleedt. De Feeler ze gesinn ass eng nëtzlech Bestätegung, datt d’Kategorie eng Konsequenz an net eng Astellung ass.
Liest den éischte Kommando um Endpunkt, deem säin Trafik blockéiert gëtt. D’Klassifikatioun vum Gateway sengem eegenen Interface seet Iech näischt doriwwer, wéi all verbonnen Aarbechtsstatioun hiren Tunnel klassifizéiert huet.
Regele follegen dem Profil, fir deen se geschriwwe goufen
Wann Dir d’Kategorie kennt, erkläert sech de fehlenden Zougang meeschtens vun selwer. All Windows Firewall-Regel dréit e Profilberäich, an eng Regel, déi op Domän limitéiert ass, gëllt net wann den Interface ëffentlech ass. Dräi Kommandoen maachen doraus eng Äntwert anstatt eng Theorie, an den drëtten hält de Fall, wou de Profil ni de Problem war:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionDen zweete Kommando ass deen, deen e vagge Bericht an eng Reparatur ëmwandelt. Wann d’Regel op en Beräich vun entfernte Adressen limitéiert ass, deen de VPN-Pool net enthalen, hëlleft och eng Ännerung vum Profil net.
Préift och déi standard Aktioun fir ageeë Trafik. Op engem Rechner, wou ageeënen Trafik standardmäßeg blockéiert ass, produzéiert eng fehlend Erlaabnisregel Stëllt anstatt enger Refus. Vun der Client-Säit gesäit dat identesch aus wéi e Routingfehler, an dofir fänken sou vill vun dësen Ticketen mat der falscher Unnam u.
Bestëmmt, wéi ee Rechner d’Regel ëmsetzt
Ier Dir eng Kategorie ännert, bestëmmt wou d’Blockad geschitt. De Server, deen d’Freigab hostet, kann seng eege Firewall hunn, an seng Regele gëllen fir den Trafik, deen aus dem VPN-Pool kënnt, onofhängeg dovun, wéi de Client säin Adapter etikettéiert huet. Eng Refus do ass onsiichtbar fir all lokale Kommando, deen Dir ausféiert, an d’Client-Säit mellt just, datt d’Ressource net disponibel ass. Test d’Regelen vum Zil selwer, ier Dir d’Klassifikatioun vum Client beréiert.
Test vum Client bis zum spezifesche Port a vergläich dann mat engem Test vun engem aneren Host am selwechten VPN. Wa béid fehlschloen, läit de Problem um Zil oder um Wee. Wa just een fehlschléit, ass den Ënnerscheed lokal fir dee Rechner, an d’Profilkategorie gëtt eng plausibel Ursaach.
Halt och d’Richtung am Kapp. Eng Regel, déi ageeë SMB erlaabt, mécht näischt fir e Client, deem seng eege ausgäng Regel deeselwechten Trafik blockéiert. Vun engem Dateimanager-Fënster aus sinn déi zwou Feelere net z’ënnerscheeden, also test all Richtung separat, ier Dir eppes ännert.
Wat maachen amplaz alles nei ze etikettéieren
En onbekannten Netzwierk Privat maachen, fir eng breet Regel ze erfëllen, ass eng richteg Ännerung mat richtegen Konsequenzen. De private Profil erlaabt typesch méi Entdeckung a méi ageeënen Trafik wéi deen ëffentlechen.
Wann d’Zil ass, engem spezifeschen Déngscht de Zougang zu de VPN-Cliente ze ginn, limitéiert d’Regel no enger entfernter Adress anstatt nom Profil. Dat dréckt d’Absicht präzis aus, funktionéiert onofhängeg vun der Klassifikatioun an hänkt net dovun of, datt Windows richteg rätselt iwwer en virtuelle Adapter. Et iwwerlieft och eng Client-Aktualiséierung, déi den Interface nei klassifizéiert. Schreift de Pool an d’Regel an déi nächst Persoun kann d’Absicht liesen ouni ze froen.
Wann d’Domänkategorie wierklech erwaart gëtt an ni erschéngt, ass dat eng separat Enquête. Préift, ob de Rechner an enger Domän ass, ob en en Domäncontroller iwwer den Tunnel erreeche kann an ob de séchere Kanal gesond ass. Déi dräi Kommandoen äntweren drop ouni eng eenzeg Registrierungsännerung:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comDéi dräi äntweren drop, ob den Endpunkt den Netzwierk iwwerhaapt hätt kënnen authentifizéieren. Wann en en Controller net erreecht, gëtt d’Domänkategorie ni zougewisen, egal wéi oft den Adapter zréckgesat gëtt. D’Firewallregel, déi Dir verfollegt hutt, war ni de richtige Problem, an d’Etikett war en Symptom vun engem gebrochene Wee, net eng Ursaach.