Windows-ന്റെ പൊതു ഫയർവാൾ പ്രൊഫൈൽ മൂലം VPN ക്ലയന്റുകൾ തടയപ്പെടുന്നു

നിങ്ങളുടെ ടണൽ പ്രവർത്തിക്കുന്നു, ഗേറ്റ്വേ ping-ന് മറുപടി നൽകുന്നു, ഫയൽ പങ്കിടൽ ഇപ്പോഴും സമയപരിധി കവിയുന്നു. ഈ സംയോജനം അപൂർവ്വമായി റൂട്ടിംഗ് പ്രശ്നമാണ്: Windows VPN അഡാപ്റ്ററിന്റെ സബ്നെറ്റ് പൊതു പ്രൊഫൈലിൽ ഇട്ടിരിക്കുന്നു, കൂടാതെ സ്വകാര്യ അല്ലെങ്കിൽ ഡൊമെയ്നിനായി എഴുതിയ ഓരോ അനുമതി നിയമവും ഒരിക്കലും ബാധകമായിട്ടില്ല. ഓഫീസിൽ കൃത്യമായി എത്തുന്ന ലാപ്ടോപ്പുകളിലും മറ്റെല്ലാ ക്ലയന്റുകൾക്കും സേവനം നൽകുന്ന RRAS സെർവറുകളിലും ഇത് കണ്ടിട്ടുണ്ട്, ബന്ധപ്പെട്ട പ്രൊഫൈൽ പേര് പറഞ്ഞാൽ പരിഹാരം ചെറുതാണ്. ഇതാണ് എന്റെ ജോലിക്രമം, അടുത്ത ഘട്ടത്തിന് മുമ്പ് എപ്പോൾ നിർത്തണമെന്ന് പറയുന്ന പരിശോധനയോടൊപ്പം.

ട്രാഫിക് യഥാർത്ഥത്തിൽ ഏത് പ്രൊഫൈലിലാണ് എത്തുന്നതെന്ന് കണ്ടെത്തുക

Windows ഫയർവാളിന് ഒരൊറ്റ ആഗോള മോഡ് ഇല്ല. ഓരോ കണക്ട് ചെയ്ത ഇന്റർഫേസും ഒരു വിഭാഗം വഹിക്കുന്നു, ഇൻബൗണ്ട് പാക്കറ്റുകൾ അവ എത്തുന്ന ഇന്റർഫേസിന്റെ വിഭാഗം അനുസരിച്ച് ഫിൽട്ടർ ചെയ്യപ്പെടുന്നു, അതിനാൽ ടണലിലുള്ള ക്ലയന്റ് എന്തിലേക്ക് എത്താം എന്നത് VPN അഡാപ്റ്ററിന്റെ പ്രൊഫൈൽ തീരുമാനിക്കുന്നു, അടുത്തുള്ള Wi-Fi അല്ലെങ്കിൽ ഈതർനെറ്റ് അഡാപ്റ്ററല്ല. എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് രണ്ട് വസ്തുതകളും വായിക്കുക:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

സാധാരണ OpenVPN അല്ലെങ്കിൽ WireGuard ഇൻസ്റ്റാളേഷനിൽ VPN അഡാപ്റ്റർ തിരിച്ചറിയാത്ത നെറ്റ്വർക്കായി പ്രത്യക്ഷപ്പെട്ട് പൊതു പ്രൊഫൈലിൽ വീഴുന്നു, ഇത് Windows തരംതിരിക്കാൻ കഴിയാത്ത ഏത് നെറ്റ്വർക്കിനും സ്ഥിരസ്ഥിതിയാണ്: അതിലൂടെ ഒരു ഡൊമെയ്ൻ കണ്ട്രോളറും മറുപടി നൽകിയില്ല, ഒരു ഗേറ്റ്വേ പ്രൊഫൈലും പൊരുത്തപ്പെട്ടില്ല. ഇന്റർഫേസിന്റെ പേര് ഇവിടെ പ്രധാനമല്ല, അതിനാൽ അഡാപ്റ്ററെ "VPN" അല്ലെങ്കിൽ "Corp" എന്ന് വിളിക്കുന്നത് ഒന്നും മാറ്റുന്നില്ല. DomainAuthenticated-ന് ഡൊമെയ്നിൽ ചേർന്ന ഒരു മെഷീൻ ആവശ്യമാണ് , അത് ആ ഇന്റർഫേസിലൂടെ യഥാർത്ഥത്തിൽ ഒരു ഡൊമെയ്ൻ കണ്ട്രോളറിലേക്ക് എത്തണം; ഒരു സബ്നെറ്റ് മാത്രം വഹിക്കുന്ന വിഭജിത ടണൽ ഈ വ്യവസ്ഥ പാലിക്കില്ല.

നിങ്ങൾക്ക് ആവശ്യമായ നിയമം ഇതിനകം VPN പൂളിൽ പരിമിതപ്പെടുത്തിയതും നിങ്ങൾ ഇപ്പോൾ വായിച്ച വിഭാഗത്തിന് ഇതിനകം ബാധകവുമാണെങ്കിൽ, ഇവിടെ നിർത്തുക: ഫിൽട്ടറിംഗ് നിങ്ങളുടെ പാളിയല്ല, അടുത്ത് നോക്കേണ്ട സ്ഥലം സേവന കോൺഫിഗറേഷനാണ്. ഈ പരിശോധന പത്ത് സെക്കൻഡ് എടുക്കുകയും ഒരു മണിക്കൂർ നിയമ എഡിറ്റിംഗ് ലാഭിക്കുകയും ചെയ്യുന്നു. വിഭാഗങ്ങളുടെ പേരുകളും ഓരോന്നും എന്ത് ഉൾക്കൊള്ളുന്നു എന്നതും Get-NetConnectionProfile റഫറൻസിൽ രേഖപ്പെടുത്തിയിരിക്കുന്നു.

നിയമങ്ങൾ എഡിറ്റ് ചെയ്യുന്നതിന് മുമ്പ് ഇത് റൂട്ടിംഗ് അല്ല, ഫിൽട്ടറിംഗ് ആണെന്ന് സ്ഥിരീകരിക്കുക

Ping ദുർബലമായ പരിശോധനയാണ്. സേവന പോർട്ട് ഉപേക്ഷിക്കപ്പെടുമ്പോൾ ICMP കടന്നുപോകാം, ഹോസ്റ്റിന് LAN-ൽ നിന്ന് മറുപടി നൽകാം എന്നാൽ അതേ അഭ്യർത്ഥന ടണലിലൂടെ നിരസിക്കാം. ക്ലയന്റിന് ആവശ്യമായ പോർട്ട് ക്ലയന്റിൽ നിന്ന് പരീക്ഷിക്കുക:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

പോർട്ട് പരിശോധന പരാജയപ്പെട്ടാൽ രണ്ട് പാളികളും വേർതിരിക്കുക. ടണൽ അല്ലെങ്കിൽ റൂട്ട് തകരാർ സാധാരണയായി ഗേറ്റ്വേ വിലാസത്തിൽ നിന്ന് ഒരു മറുപടിയും ഇല്ലാത്തതായി കാണപ്പെടുന്നു, എന്നാൽ ഫയർവാൾ നിരസിക്കൽ മറുപടി നൽകുന്ന ഗേറ്റ്വേയും മറുപടി നൽകാത്ത സേവന പോർട്ടും കാണിക്കുന്നു. RRAS വഴി പൂൾ പ്രസിദ്ധീകരിക്കുന്ന Windows സെർവറിൽ അതേ പരിശോധന ക്ലയന്റിൽ നിന്ന് നടത്തി സെർവറിന്റെ സ്വന്തം പ്രൊഫൈൽ വായിക്കുക: RAS ഇന്റർഫേസ് ഇൻബൗണ്ട് നിയമങ്ങൾ ഒരിക്കലും ക്ലയന്റ് ശ്രേണി പരാമർശിക്കാത്ത ഒരു വിഭാഗത്തിൽ ആകാം, അതുകൊണ്ടാണ് ആ യന്ത്രം സ്വന്തം LAN-ന് സേവനം നൽകി ടണലിലെ എല്ലാ ക്ലയന്റുകളെയും നിരസിക്കുന്നത്.

ഫലം ഇപ്പോഴും അവ്യക്തമാണെങ്കിൽ, ബന്ധപ്പെട്ട പ്രൊഫൈലിന്റെ നിരസിക്കലുകൾ രേഖപ്പെടുത്തി അവ വായിക്കുക:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

ക്ലയന്റിന്റെ വിലാസവും പോർട്ടും DROP-നൊപ്പം പറയുന്ന എൻട്രികൾ നിർണായകമാണ്, ഏത് നിയമമാണ് വിട്ടുപോയതെന്നും അവ പറയുന്നു. ഒന്നും ഇല്ലാത്ത ലോഗ്, ക്ലയന്റിന്റെ SYN ഒരിക്കലും പ്രത്യക്ഷപ്പെടാത്തപ്പോൾ, ഹോസ്റ്റിന് മുകളിലേക്ക് സൂചിപ്പിക്കുന്നു, അതിനാൽ മറ്റൊരു ഫയർവാൾ ഒബ്ജക്റ്റ് തൊടുന്നതിന് മുമ്പ് ടണൽ, NAT നിയമം അല്ലെങ്കിൽ പൂൾ റൂട്ടിലേക്ക് മടങ്ങുക.

ഒരു ഇൻബൗണ്ട് നിയമം ക്ലയന്റ് പൂളിലേക്ക് പരിമിതപ്പെടുത്തുക

പരിഹാരം ദൂര വിലാസം ലോകമല്ല, പൂളാണ് എന്ന ഒരൊറ്റ ഇൻബൗണ്ട് അനുമതി നിയമമാണ്. ഉയർത്തിയ സെഷനിൽ നിന്ന്:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

സേവനം ഒരൊറ്റ ബൈനറി ഫയലാണെങ്കിൽ, പോർട്ട് പട്ടികയ്ക്ക് പകരം -Program പരാമീറ്ററുള്ള പ്രോഗ്രാം-പരിമിത നിയമത്തിന് മുൻഗണന നൽകുക; ഇത് ഒഴിവാക്കലിനെ പ്രോസസ്സിലേക്കും ഉറവിട ശ്രേണിയിലേക്കും പരിമിതപ്പെടുത്തുന്നു.

പ്രൊഫൈൽ തിരഞ്ഞെടുപ്പാണ് അതേ തെറ്റ് എതിർദിശയിൽ സംഭവിക്കുന്ന സ്ഥലം. -Profile Public അഡാപ്റ്റർ പൊതുവും പൊതുവായി തുടരുകയും ചെയ്താൽ മതി. -Profile Any Windows അഡാപ്റ്ററെ എങ്ങനെ തരംതിരിച്ചാലും സേവനം പ്രവർത്തിക്കേണ്ടിവരുമ്പോൾ ന്യായീകരിക്കാം, പക്ഷേ ദൂര പരിധി നിലനിൽക്കുന്നിടത്തോളം മാത്രം. ഒരിക്കലും ന്യായീകരിക്കാനാകാത്തത് -RemoteAddress Any പൊതു പ്രൊഫൈലിലാണ്: ആ നിയമം ലാപ്ടോപ്പിനൊപ്പം അത് ചേരുന്ന ഓരോ കഫേ, ഹോട്ടൽ നെറ്റ്വർക്കിലേക്കും പോയി ആ സബ്നെറ്റ് പങ്കിടുന്ന എല്ലാവർക്കും പോർട്ട് തുറക്കുന്നു.

പൂൾ നിയമത്തിന് അടുത്തായി രേഖപ്പെടുത്തുക. -RemoteAddress 10.8.0.0/24 VPN പൂൾ പുനർസംഖ്യയാക്കുന്ന ദിവസം നിശബ്ദമായി പൊരുത്തപ്പെടുന്നത് നിർത്തുന്നു, പരാജയം യഥാർത്ഥ ബഗിനെപ്പോലെ കാണപ്പെടുന്നു, അതുകൊണ്ട് ഇത് മറ്റൊരു ഉച്ചയ്ക്ക് ശേഷം എടുക്കുന്നു. നിയമങ്ങൾക്ക് സേവനത്തിന്റെയും ഉറവിട ശ്രേണിയുടെയും പേര് നൽകുക, അവ -Group ഒരുമിച്ച് സൂക്ഷിക്കുക, പൂൾ നിർവചനം മാറുമ്പോഴെല്ലാം അവ വീണ്ടും വായിക്കുക. ഒരു സ്ക്രീനിൽ പരിശോധിക്കാനാകുന്ന നിയമ പട്ടിക ആർക്കും കണ്ടെത്താനാകാത്ത ശരിയായ നിയമത്തേക്കാൾ മികച്ചതാണ്.

വിഭാഗം തന്നെ തീരുമാനമാകുമ്പോൾ മാത്രം വിഭാഗം മാറ്റുക

ഇന്റർഫേസ് സ്വകാര്യത്തിലേക്ക് മാറ്റുന്നതും പ്രവർത്തിക്കുന്നു, അത് തെറ്റായ സ്ഥിരസ്ഥിതിയാണ്. സ്വകാര്യ പ്രൊഫൈലിൽ ഒട്ടേറെ അന്തർനിർമ്മിത അനുമതി നിയമങ്ങളുണ്ട്, അവ ഫയൽ, പ്രിന്റർ പങ്കിടൽ, നെറ്റ്വർക്ക് കണ്ടെത്തൽ, റിമോട്ട് ഡെസ്ക്ടോപ്പ്, അടിസ്ഥാന രേഖ അനുസരിച്ച് കൂടുതലും ഉൾക്കൊള്ളുന്നു, അതിനാൽ VPN അഡാപ്റ്റർ പുനർവർഗ്ഗീകരിക്കുന്നത് അവയെല്ലാം ടണലിലെ ഓരോ ക്ലയന്റിനും ഒരുമിച്ച് സജീവമാക്കുന്നു. ഒരു പരിമിത നിയമം ഒരു സേവനം ഒരു ശ്രേണിക്ക് നൽകുന്നു. വിശ്വസനീയമല്ലാത്ത നെറ്റ്വർക്കുകളിൽ ചേരുന്ന ലാപ്ടോപ്പിൽ ഈ വ്യത്യാസം ഉപരിപ്ലവമല്ല.

വർഗ്ഗീകരണം യഥാർത്ഥത്തിൽ തെറ്റായ സന്ദർഭങ്ങളുണ്ട്: ഓഫീസ് സബ്നെറ്റ് വഹിക്കുന്ന എപ്പോഴും-ഓൺ അല്ലെങ്കിൽ സൈറ്റ്-ടു-സൈറ്റ് ടണൽ വിശ്വസനീയ അടിസ്ഥാന സൗകര്യമാണ്, ആ അഡാപ്റ്ററെ സ്വകാര്യമായി അടയാളപ്പെടുത്തുന്നത് ഒരിക്കൽ നയപ്രകാരം എടുക്കുന്ന നിയമാനുസൃത ഡിസൈൻ തീരുമാനമാണ്, ഓരോ ടിക്കറ്റിനും അല്ല. ചെയ്യുമ്പോൾ വ്യക്തമായി ചെയ്യുക:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

മാനേജ് ചെയ്യുന്ന ഉപകരണത്തിൽ ആദ്യം ക്രമീകരണം ഒരു ഗ്രൂപ്പ് പോളിസിയുടെയോ MDM അടിസ്ഥാന രേഖയുടെയോ ഉടമസ്ഥതയിലാണോ എന്ന് പരിശോധിക്കുക. ഉണ്ടെങ്കിൽ, പ്രാദേശിക മാറ്റം അടുത്ത പുതുക്കലിൽ പിൻവലിക്കപ്പെടും, കൂടാതെ gpresult /h അതിനുടമയായ നയം പേര് പറയും; അവിടെ തന്നെ ശരിയാക്കുക, എൻഡ്പോയിന്റിൽ അല്ല.

രണ്ട് അറ്റങ്ങളിൽ നിന്നും പരിശോധിച്ച് ഒരു അടയാളം വിടുക

മാറ്റത്തിന് ശേഷം ഉപയോക്താവ് റിപ്പോർട്ട് ചെയ്ത ഫ്ലോ ക്ലയന്റിൽ നിന്ന് പരിശോധിക്കുക:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

തുടർന്ന് അടുത്ത ആഴ്ച തകരുന്ന കാര്യങ്ങളിൽ ലൂപ്പ് അടയ്ക്കുക. ഹോസ്റ്റ് പുനരാരംഭിച്ച് വീണ്ടും പരിശോധിക്കുക, കാരണം തെറ്റായ പ്രൊഫൈലിൽ പരിമിതപ്പെടുത്തിയ നിയമം അഡാപ്റ്റർ മറ്റൊരു വിഭാഗത്തിൽ തിരികെ വരുന്നതുവരെ പ്രവർത്തിക്കുന്നത് തുടരും. രണ്ടാമത്തെ ക്ലയന്റിൽ നിന്ന് പരിശോധിക്കുക, കാരണം കാലഹരണപ്പെട്ട ലീസ് ഉള്ള ഒരു ക്ലയന്റ് പൂൾ പൊരുത്തക്കേട് മറയ്ക്കാം. ചേർത്ത നിയമങ്ങൾ നീക്കിയ നിയമങ്ങളുമായി എണ്ണുക, കാരണം ഓവർലാപ്പിംഗ് ഒഴിവാക്കലുകളാണ് രണ്ട് വരി പരിഹാരത്തെ ആർക്കും അവലോകനം ചെയ്യാനാകാത്ത ഫിൽട്ടറിംഗ് നയമാക്കി മാറ്റുന്ന വഴി.

ഇത് പൂർത്തിയായി പറയുന്നതിന് മുമ്പ്:

• നിയമത്തിൽ പേരിട്ട പ്രൊഫൈൽ ട്രാഫിക് എത്തുന്ന ഇന്റർഫേസിലെ പ്രൊഫൈലാണ്.
• ദൂര പരിധി VPN പൂളാണ്, ആ പൂൾ സെർവർ യഥാർത്ഥത്തിൽ നൽകുന്നതുമായി പൊരുത്തപ്പെടുന്നു.
• നിങ്ങൾ ചേർത്ത ഒരു നിയമവും -RemoteAddress Any പൊതു പ്രൊഫൈലിൽ ഉപയോഗിക്കുന്നില്ല.
• പരിശോധന വിജയിക്കാൻ ഒന്നും പ്രവർത്തനരഹിതമാക്കിയിട്ടില്ല, ഓരോ വിഭാഗ മാറ്റവും ആരാണ് അനുവദിച്ചതെന്ന് രേഖപ്പെടുത്തുന്നു.