Kāpēc jūsu VPN adapteris paliek publiskajā ugunsmūra profilā
Pieteikšanās domēnā neklasificē tīklu kā domēnu, un Privātais nav aizstājējs. Vispirms izlasiet noteikuma profilu, pēc tam iekārtu, kas to piemēro.
Tunelis ir aktīvs, konts ir autentificēts domēnā, un Windows joprojām marķē savienojumu kā publisku. Tāpēc domēna profilam rakstītais ugunsmūra noteikums neattiecas, un failu koplietojums paliek nesasniedzams. Parastais labošanas mēģinājums ir iestatīt adapteri uz privāto, kas maina to, kuri noteikumi ir spēkā, bet neko nemaina autentifikācijā. Gan marķējums, gan labojums tiek plaši pārprasti, un to atdalīšanai vajadzīgas trīs komandas.
Pievienotais konts nav tīkla kategorija
VPN savienojuma laikā tiek pieņemti divi dažādi lēmumi, un tos ir viegli sajaukt. Vārteja izlemj, vai konts drīkst savienoties. Windows izlemj, kā klasificēt iegūto tīklu, un šī klasifikācija nosaka, kuri ugunsmūra noteikumi attiecas uz saskarni.
Veiksmīga domēna autentifikācija vārtejā ir pierādījums par kontu. Tas nav pierādījums, ka galapunkts ir autentificējis tīklu pret domēna kontrolleri, un tieši to attēlo domēna kategorija.
Tāpēc iekārta var būt pievienota domēnam, savienoties ar domēna kontu un tomēr rādīt publisku. Klasifikācija ir vietējs lēmums par tīklu, nevis apgalvojums par akreditācijas datiem, kas atvēra tuneli. Konts var būt pilnīgi derīgs, kamēr marķējums paliek tur, kur tas sākās.
Trīs kategorijas, no kurām vienu nevarat iestatīt
Windows piedāvā trīs kategorijas, un tikai divas no tām var piešķirt administrators. Trešo nosaka operētājsistēma pēc tam, kad tā veiksmīgi autentificē tīklu pret domēna kontrolleri.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedTrešā komanda neizdodas, un tā ir dokumentēta uzvedība, nevis atļauju problēma. Pašas komandas uzziņa norāda, ka domēna kategoriju šādi nevar piešķirt, jo Windows to atvasina no domēna autentifikācijas. Kļūdas redzēšana ir noderīgs apstiprinājums, ka kategorija ir sekas, nevis iestatījums.
Lasiet pirmo komandu tajā galapunktā, kura trafiks tiek bloķēts. Vārtejas pašas saskarnes klasifikācija neko nepasaka par to, kā katra savienojošā darbstacija klasificēja savu tuneli.
Noteikumi seko profilam, kuram tie rakstīti
Kad kategorija ir zināma, trūkstošā piekļuve parasti pati izskaidrojas. Katram Windows Firewall noteikumam ir profila tvērums, un uz domēnu ierobežots noteikums neattiecas, ja saskarne ir publiska. Trīs komandas to pārvērš atbildē, nevis teorijā, un trešā uztver gadījumu, kad profils nekad nav bijis problēma:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionOtrā komanda ir tā, kas neskaidru ziņojumu pārvērš labojumā. Ja noteikums ir ierobežots uz attālu adrešu diapazonu, kas neietver VPN baseinu, arī profila maiņa nepalīdzēs.
Pārbaudiet arī ieejošā trafika noklusējuma darbību. Iekārtā, kur ieejošais trafiks pēc noklusējuma ir bloķēts, trūkstošais atļaujas noteikums rada klusumu, nevis atteikumu. No klienta puses tas izskatās identiski maršrutēšanas kļūmei, un tāpēc tik daudz šo pieteikumu sākas ar nepareizu pieņēmumu.
Nosakiet, kura iekārta piemēro noteikumu
Pirms mainīt kategoriju, nosakiet, kur notiek bloķēšana. Serverim, kas mitina koplietojumu, var būt savs ugunsmūris, un tā noteikumi attiecas uz trafiku, kas nāk no VPN baseina, neatkarīgi no tā, kā klients marķēja savu adapteri. Atteikums tur nav redzams nevienai vietējai komandai, ko izpildāt, un klienta puse tikai ziņo, ka resurss nav pieejams. Pārbaudiet galamērķa paša noteikumus, pirms aiztikt klienta klasifikāciju.
Pārbaudiet no klienta uz konkrēto portu, pēc tam salīdziniet ar testu no cita resursdatora tajā pašā VPN. Ja abi neizdodas, problēma ir galamērķī vai ceļā. Ja neizdodas tikai viens, atšķirība ir vietēja šai iekārtai, un profila kategorija kļūst par ticamu cēloni.
Paturiet prātā arī virzienu. Noteikums, kas atļauj ieejošo SMB, neko nedara klientam, kura paša izejošais noteikums bloķē to pašu trafiku. No failu pārlūka loga abas kļūmes nav atšķiramas, tāpēc pārbaudiet katru virzienu atsevišķi, pirms kaut ko rediģējat.
Ko darīt tā vietā, lai pārmarķētu visu
Neidentificēta tīkla padarīšana par privātu, lai apmierinātu plašu noteikumu, ir reālas izmaiņas ar reālām sekām. Privātais profils parasti atļauj vairāk atklāšanas un vairāk ieejošā trafika nekā publiskais.
Ja mērķis ir ļaut konkrētam servisam sasniegt VPN klientus, ierobežojiet noteikumu pēc attālas adreses, nevis pēc profila. Tas precīzi izsaka nodomu, darbojas neatkarīgi no klasifikācijas un nav atkarīgs no tā, vai Windows pareizi uzmin par virtuālo adapteri. Tas arī pārdzīvo klienta atjauninājumu, kas pārklasificē saskarni. Ierakstiet baseinu noteikumā, un nākamā persona varēs nolasīt nodomu, neprasot.
Ja domēna kategorija tiešām tiek gaidīta un nekad neparādās, tas ir atsevišķa izmeklēšana. Pārbaudiet, vai iekārta ir pievienota domēnam, vai tā sasniedz domēna kontrolleri pa tuneli un vai drošais kanāls ir vesels. Šīs trīs komandas atbild uz to bez neviena reģistra labojuma:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comŠīs trīs atbild, vai galapunkts vispār varēja autentificēt tīklu. Ja tas nevar sasniegt kontrolleri, domēna kategorija nekad netiks piešķirta, lai cik reizes adapteris tiktu atiestatīts. Ugunsmūra noteikums, kam sekojāt, nekad nav bijis īstā problēma, un marķējums bija salauzta ceļa simptoms, nevis cēlonis.