Зошто вашиот VPN адаптер останува на јавниот профил на заштитниот ѕид

Тунелот е активен, сметката е автентицирана на доменот, а Windows сепак ја означува врската како јавна. Затоа правилото на заштитниот ѕид напишано за профилот на доменот не се применува, а споделената папка останува недостапна. Вообичаениот обид за поправка е адаптерот да се постави на приватно, што менува кои правила важат, но не менува ништо во автентикацијата. И ознаката и поправката се нашироко погрешно разбрани, а нивното разделување бара три команди.

Сметката што се поврза не е категоријата на мрежата

За време на VPN врска се носат две различни одлуки и лесно е да се помешаат. Портите одлучуваат дали сметката смее да се поврзе. Windows одлучува како да ја класифицира добиената мрежа, и таа класификација одредува кои правила на заштитниот ѕид важат за интерфејсот.

Успешна автентикација на домен кај портите е доказ за сметката. Тоа не е доказ дека крајната точка ја автентицирала мрежата пред контролер на домен, а токму тоа го претставува категоријата на домен.

Затоа машината може да биде приклучена на домен, да се поврзува со доменска сметка и сепак да прикажува јавно. Класификацијата е локална одредба за мрежата, а не изјава за акредитивите што го отворија тунелот. Сметката може да биде сосема валидна додека ознаката останува каде што почнала.

Три категории, една од кои не можете да ја поставите

Windows изложува три категории и само две од нив може да ги додели администратор. Третата ја одредува оперативниот систем откако успешно ќе ја автентицира мрежата пред контролер на домен.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Третата команда не успева и тоа е документираното однесување, а не проблем со дозволи. Референцата на самата команда наведува дека категоријата на домен не може да се додели на овој начин, бидејќи Windows ја изведува од автентикацијата на домен. Гледањето на грешката е корисно потврдување дека категоријата е последица, а не поставка.

Прочитајте ја првата команда на крајната точка чиј сообраќај е блокиран. Класификацијата на сопствениот интерфејс на портите не ви кажува ништо за тоа како секоја поврзувачка работна станица го класифицирала својот тунел.

Правилата го следат профилот за кој се напишани

Откако ќе ја знаете категоријата, недостапниот пристап обично сам се објаснува. Секое правило на Windows Firewall носи опсег на профил, а правило ограничено на домен не важи кога интерфејсот е јавен. Три команди го претвораат тоа во одговор, а не во теорија, а третата го фаќа случајот кога профилот никогаш не бил проблемот:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Втората команда е онаа што нејасниот извештај го претвора во поправка. Ако правилото е ограничено на опсег на оддалечени адреси што не го вклучува базенот VPN, ниту менувањето на профилот нема да помогне.

Проверете го и стандардното дејство за влезен сообраќај. На машина каде влезниот сообраќај е стандардно блокиран, недостатокот на правило за дозвола создава тишина наместо одбивање. Од страната на клиентот тоа изгледа исто како неуспех во рутирањето, и затоа толку многу од овие тикети започнуваат со погрешна претпоставка.

Утврдете која машина го спроведува правилото

Пред да смените категорија, утврдете каде се случува блокирањето. Серверот што го хостира споделувањето може да има свој заштитен ѕид, а неговите правила важат за сообраќајот што доаѓа од базенот VPN без оглед на тоа како клиентот го означил својот адаптер. Одбивањето таму е невидливо за секоја локална команда што ја извршувате, а клиентската страна само известува дека ресурсот не е достапен. Тестирајте ги сопствените правила на одредиштето пред да ја допрете класификацијата на клиентот.

Тестирајте од клиентот до конкретната порта, потоа споредете со тест од друг домаќин на истиот VPN. Ако и двете не успеат, проблемот е на одредиштето или на патеката. Ако не успее само едно, разликата е локална за таа машина и категоријата на профилот станува веројатна причина.

Имајте ја предвид и насоката. Правило што дозволува влезен SMB не прави ништо за клиент чие сопствено излезно правило го блокира истиот сообраќај. Од прозорецот на истражувачот на датотеки двете неуспеси не се разликуваат, затоа тестирајте ја секоја насока одделно пред да уредите нешто.

Што да направите наместо да преименувате сите

Правењето на неидентификувана мрежа приватна за да се задоволи широко правило е вистинска промена со вистински последици. Приватниот профил обично дозволува повеќе откривање и повеќе влезен сообраќај од јавниот.

Ако целта е конкретна услуга да ги достигне клиентите на VPN, ограничете го правилото по оддалечена адреса наместо по профил. Тоа ја изразува намерата прецизно, работи независно од класификацијата и не зависи од тоа дали Windows правилно ќе погоди за виртуелен адаптер. Тоа исто така го преживува ажурирањето на клиентот што го рекласифицира интерфејсот. Запишете го базенот во правилото и следната личност ќе може да ја прочита намерата без да праша.

Ако категоријата на домен навистина се очекува и никогаш не се појавува, тоа е одделна истрага. Проверете дали машината е приклучена на домен, дали може да стигне до контролер на домен преку тунелот и дали безбедниот канал е здрав. Овие три команди одговараат на тоа без ниту една измена на регистарот:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Овие три одговараат дали крајната точка воопшто можела да ја автентицира мрежата. Ако не може да стигне до контролер, категоријата на домен никогаш нема да биде доделена, колку пати и да се ресетира адаптерот. Правилото на заштитниот ѕид што го баравте никогаш не било вистинскиот проблем, а ознаката беше симптом на скршена патека, а не причина.