VPN-Clienten, déi vum ëffentleche Windows-Firewallprofil blockéiert ginn

Ären Tunnel ass op, de Gateway äntwert op Ping, an d'Dateiaustausch leeft nach ëmmer an en Timeout. Dës Kombinatioun ass selten e Routingproblem: Windows huet d'Subnetz vum VPN-Adapter an de Profil Ëffentlech gesat, an all Erlaabnesregel, déi fir Privat oder Domain geschriwwe gouf, gouf ni ugewannt. Ech hunn dat op Laptoppe gesinn, déi d'Büro problemlos erreechen, an op RRAS-Serveren, déi all aner Clienten zerwéieren, an d'Reparatur ass kuerz, soubal Dir de betraffene Profil nennt. Hei ass d'Reiefolleg, an där ech schaffen, mat der Kontroll, déi Iech seet, wéini Dir virum nächste Schrëtt stoppe sollt.

Fannt eraus, op wéienengem Profil den Traffic tatsächlech ukommt

D'Windows-Firewall huet keen eenzegen globale Modus. All verbonnen Interface dréit eng Kategorie, an erakommend Pakete gi géint d'Kategorie vum Interface gefiltert, op deem se ukommen, dofir entscheet de Profil vum VPN-Adapter, wat en Client am Tunnel erreeche kann, an net den Wi-Fi- oder Ethernet-Adapter niewendrun. Liest béid Fakten, ier Dir eppes ännert:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

Bei enger Standardinstallatioun vun OpenVPN oder WireGuard erschéngt den VPN-Adapter als net identifizéiert Netzwierk a lant am Ëffentleche Profil, wat de Standard fir all Netzwierk ass, dat Windows net klasséiere kann: kee Domain-Controller huet driwwer geäntwert an kee Gatewayprofil huet gepasst. Den Numm vum Interface spillt hei keng Roll, dofir ännert et näischt, den Adapter "VPN" oder "Corp" ze nennen. DomainAuthenticated erfuerdert eng Maschinn, déi un der Domain ass , déi iwwer deen Interface wierklech en Domain-Controller erreecht; en opgedeilten Tunnel, deen nëmmen eng Subnetz dréit, erfëllt dës Konditioun net.

Wann d'Regel, déi Dir braucht, schonn op de VPN-Pool begrenzt ass an schonn op d'Kategorie gëllt, déi Dir just gelies hutt, stoppt hei: Filtere ass net Är Schicht, an déi nächst Plaz fir ze kucken ass d'Serviskonfiguratioun. Déi Kontroll hëlt zéng Sekonnen a spuert eng Stonn Regelredaktioun. D'Kategorienimm an dat, wat alleng deckt, sinn an der Referenz zu Get-NetConnectionProfile dokumentéiert.

Bestätegt d'Filtere, net d'Routing, ier Dir Regelen ännert

Ping ass en schwache Test. ICMP kann duerchkommen, während de Serviceport verworf gëtt, an en Host kann aus dem LAN äntweren, während hien déiselwecht Ufro iwwer den Tunnel refuséiert. Test de Port, deen de Client brauch, vum Client:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Wann den Porttest feelt, trennt déi zwou Schichten. En Tunnel- oder Routefehler weist sech normalerweis als guer keng Äntwert vun der Gatewayadress, während eng Firewallverwerfung en Gateway weist, deen äntwert, an e Serviceport, deen et net mécht. Op engem Windows-Server, deen de Pool iwwer RRAS publizéiert, fuert deeselwechte Test vun engem Client aus a liest dem Server säin eegene Profil: den RAS-Interface kann an enger Kategorie sëtzen, där hir erakommend Regelen ni de Clientberäich ernimmen, an dofir zerwéiert d'Maschinn hir LAN a refuséiert all Client am Tunnel.

Wann d'Resultat nach ëmmer onkloer ass, loggt d'Verwerfungen fir de betraffene Profil a liest se:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Entréeen, déi d'Clientadress an de Port mat DROP nennen, sinn entscheedend, an se soen Iech och, wéi eng Regel gefeelt huet. E Log ouni eppes, während dem Client seng SYN ni erschéngt, weist iwwer den Host eraus, dofir gitt zréck op den Tunnel, d'NAT-Regel oder d'Pool-Route, ier Dir en aneren Firewallobjekt beréiert.

Begrenzt eng erakommend Regel op de Clientpool

D'Reparatur ass eng eenzeg erakommend Erlaabnesregel, där hir distanzt Adress de Pool ass, net déi ganz Welt. Aus enger erhéiter Sessioun:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Wann de Service eng eenzeg Binärdatei ass, bevorzugt eng programmbezunn Regel mat -Program amplaz enger Portlëscht; dat begrenzt d'Ausnam souwuel op de Prozess wéi och op de Quellberäich.

D'Profilwal ass d'Plaz, wou dee selwechte Feeler an déi aner Richtung gemaach gëtt. -Profile Public ass genuch, wann den Adapter Ëffentlech ass an Ëffentlech bleift. -Profile Any ass verdeedegbar, wann de Service musse funktionéieren, egal wéi Windows den Adapter klasséiert, awer nëmme soulaang de distant Beräich bleift. Wat ni verdeedegbar ass, ass -RemoteAddress Any am Ëffentleche Profil: déi Regel follegt dem Laptop an all Café- an Hotellnetzwierk, deem hien sech uschléisst, an mécht de Port op fir jiddereen, deen déi Subnetz deelt.

Notéiert de Pool niewendrun der Regel. -RemoteAddress 10.8.0.0/24 hält stillem op ze passen den Dag, wou de VPN-Pool nei nummeréiert gëtt, an de Feeler gesäit genee wéi de urspréngleche Bug aus, dofir kascht en en zweeten Nomëtteg. Nennt Regelen no dem Service an dem Quellberäich, haalt se beienee mat -Group, a liest se nei, wann d'Pooldéfinicioun sech ännert. Eng Regelinventar, déi Dir op engem Bildschierm kontrolléiere kënnt, schléisst eng korrekt Regel, déi keen fanne kann.

Ännert d'Kategorie nëmmen, wann d'Kategorie d'Entscheedung ass

Den Interface op Privat ze schaalten funktionéiert och, an et ass de falsche Standard. De Privat-Profil dréit eng laang Lëscht vun agebaute Erlaabnesregelen, déi Datei- an Dréckeraustausch, Netzwierkentdeckung, Fernarbechtsfläche a méi no der Basislinie decken, dofir aktivéiert d'Reklassifizéierung vum VPN-Adapter se all gläichzäiteg fir all Client am Tunnel. Eng begrenzt Regel gëtt engem Beräich eng eenzeg Servicer. Op engem Laptop, deen och onvertraute Netzwierker bäitrëtt, ass deen Ënnerscheed net kosmetesch.

Et gëtt Fäll, wou d'Klassifizéierung wierklech falsch ass: en ëmmer aktiven oder Standuert-zu-Standuert Tunnel, deen eng Bürosubnetz dréit, ass vertraut Infrastruktur, an deen Adapter als Privat ze markéieren ass eng legitim Designentscheedung, déi eemol duerch Politik getraff gëtt, net pro Ticket. Wann Dir se trefft, trefft se explizit:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Op engem geréierte Gerät kontrolléiert als éischt, ob eng Gruppepolitik oder eng MDM-Basislinie d'Astellung besëtzt. Wann jo, gëtt déi lokal Ännerung bei der nächster Aktualiséierung zréckgesat, an gpresult /h nennt d'Politik, déi se besëtzt; korrigéiert et do, net um Endpunkt.

Verifizéiert vun zwou Säiten a loosst eng Spuer

Verifizéiert de Flux, dee vum Benotzer gemellt gouf, vum Client, no der Ännerung:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Dann schléisst de Krees bei de Saachen, déi nächst Woch futti ginn. Start den Host nei a test nach eng Kéier, well eng Regel, déi op de falsche Profil begrenzt ass, weider funktionéiert, bis den Adapter an enger anerer Kategorie zréckkënnt. Test vun engem zweete Client, well ee Client mat engem ale Lease eng Poolonstëmmegkeet verstoppe kann. Zielt d'Regele, déi Dir bäigefüügt hutt, géint déi, déi Dir ewechgeholl hutt, well iwwerlappend Ausnamen ass de Wee, wou eng Korrektur vun zwou Zeilen eng Filterpolitik gëtt, déi keen iwwerpréiwe kann.

Ier Dir et fäerdeg nennt:

• De Profil, deen an der Regel genannt gëtt, ass de Profil vum Interface, op deem den Traffic ukommt.
• De distant Beräich ass de VPN-Pool, an dee Pool entsprécht deem, wat de Server tatsächlech verdeelt.
• Keng Regel, déi Dir bäigefüügt hutt, benotzt -RemoteAddress Any am Ëffentleche Profil.
• Näischt gouf deaktivéiert, fir datt den Test besteet, an all Kategorieännerung registréiert, wien se guttgeheescht huet.