VPN-клиентүүд Windows-ийн нийтийн галт хананы профайлаар блоклогддог

Таны туннель ажиллаж байна, гарц ping-д хариулж байна, файл хуваалцах нь хугацаа хэтэрч байна. Энэ хослол маршрутлалтын асуудал байх нь ховор: Windows VPN адаптерын дэд сүлжээг Нийтийн профайлд хийсэн бөгөөд Хувийн эсвэл Домэйн профайлд зориулж бичигдсэн зөвшөөрлийн дүрэм бүр хэзээ ч хэрэгжиж чадаагүй. Би үүнтэй оффис руу асуудалгүй хүрдэг зөөврийн компьютерүүд болон бусад бүх клиентэд үйлчилдэг RRAS серверүүд дээр таарч байсан бөгөөд холбогдох профайлыг нэрлэсний дараа засвар богино байдаг. Энэ бол миний ажиллах дараалал, дараагийн алхамын өмнө хэзээ зогсохыг хэлэх шалгалтын хамт.

Замын хөдөлгөөн яг аль профайлаар ирж байгааг тодорхойл

Windows-ийн галт хананд нэг дэлхийн горим байхгүй. Холбогдсон интерфейс бүр ангилалтай бөгөөд орж ирж буй пакетууд нь ирж буй интерфейсийн ангиллаар шүүгддэг тул туннель доторх клиент юунд хүрч чадахыг VPN адаптерын профайл шийддэг, хажууд байгаа Wi-Fi эсвэл Ethernet адаптер биш. Ямар нэг зүйлийг өөрчлөхөөс өмнө хоёр баримтыг уншаарай:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

OpenVPN эсвэл WireGuard-ийн стандарт суулгацад VPN адаптер нь танигдаагүй сүлжээ хэлбэрээр гарч Нийтийн профайлд ордог бөгөөд энэ нь Windows ангилж чадахгүй аливаа сүлжээний анхдагч утга юм: ямар ч домэйн контроллер түүгээр хариулаагүй, ямар ч гарцын профайл тохироогүй. Интерфейсийн нэр энд хамаагүй, тиймээс адаптерыг «VPN» эсвэл «Corp» гэж нэрлэх нь юу ч өөрчлөхгүй. DomainAuthenticated нь домэйнд нэгдсэн машин шаарддаг , тэр нь тухайн интерфейсээр домэйн контроллерт үнэхээр хүрч чадна; зөвхөн нэг дэд сүлжээ зөөдөг хуваагдсан туннель энэ шаардлагыг хангахгүй.

Хэрэв танд хэрэгтэй дүрэм аль хэдийн VPN пулд хязгаарлагдсан бөгөөд сая уншсан ангилалд аль хэдийн хамаарч байвал энд зогсоорой: шүүлт нь таны давхарга биш бөгөөд дараагийн харах газар нь үйлчилгээний тохиргоо юм. Энэ шалгалт арван секунд үргэлжилж, нэг цаг дүрэм засварлахаас хэмнэдэг. Ангиллын нэрс болон тус бүр юуг хамардаг нь Get-NetConnectionProfile лавлагаанд бичигдсэн.

Дүрмийг засахын өмнө шүүлтийг, маршрутлалтыг биш, баталгаажуул

Ping бол сул тест. Үйлчилгээний порт хаягдаж байхад ICMP гарч болох бөгөөд хост LAN-аас хариулж, ижил хүсэлтийг туннелээр татгалзаж болно. Клиентэд хэрэгтэй портыг клиентээс туршиж үзээрэй:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Хэрэв портын тест бүтэлгүйтвэл хоёр давхаргыг салга. Туннель эсвэл замын гэмтэл нь ихэвчлэн гарцын хаягаас огт хариу ирэхгүй байх хэлбэрээр илэрдэг бол галт ханаас хаях нь хариулж буй гарц ба хариулахгүй байгаа үйлчилгээний портыг харуулдаг. Пуллыг RRAS-аар нийтэлдэг Windows сервер дээр ижил тестийг клиентээс ажиллуулж, серверийн өөрийн профайлыг уншаарай: RAS интерфейс нь орж ирэх дүрмүүд нь клиентийн хүрээг хэзээ ч дурдалдаггүй ангилалд байж болох бөгөөд иймээс машин өөрийн LAN-д үйлчилж, туннель дахь бүх клиентийг татгалздаг.

Үр дүн нь одоо ч тодорхойгүй бол холбогдох профайлын хаягдлыг бүртгэж, уншаарай:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Клиентийн хаяг болон портыг DROP-той хамт дурдсан бичлэгүүд шийдвэрлэхүүн бөгөөд аль дүрэм дутуу байсныг ч хэлнэ. Дотор нь юу ч байхгүй лог, клиентийн SYN хэзээ ч гарч ирэхгүй байх нь хостын өмнөх хэсгийг заадаг тул өөр галт хананы объектод хүрэхийн өмнө туннель, NAT дүрэм эсвэл пулын зам руу буцаарай.

Нэг орж ирэх дүрмийг клиентийн пулд хязгаарла

Засвар нь алслагдсан хаяг нь дэлхий биш пул байх нэг орж ирэх зөвшөөрлийн дүрэм юм. Өргөгдсөн сессээс:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Үйлчилгээ нь нэг хоёртын файл бол портын жагсаалтын оронд -Program параметртэй програмд хязгаарласан дүрмийг илүүд үзээрэй; энэ нь үл хамаарах зүйлийг процесс болон эх хүрээнд хоёуланд нь хязгаарладаг.

Профайл сонгох нь ижил алдааг эсрэг чиглэлд гаргадаг газар юм. -Profile Public адаптер Нийтийн байх бөгөөд Нийтийн хэвээр байвал хангалттай. -Profile Any үйлчилгээ нь Windows адаптерыг хэрхэн ангилснаас үл хамааран ажиллах ёстой үед хамгаалагдах боловч зөвхөн алслагдсан хүрээ үлдэх хүртэл. Хэзээ ч хамгаалагдахгүй зүйл бол -RemoteAddress Any Нийтийн профайлд: тэр дүрэм зөөврийн компьютерыг нэгдэх кафе, зочид буудлын сүлжээ бүрт дагаж, тухайн дэд сүлжээг хуваалцсан хүн бүрт портыг нээдэг.

Пуллыг дүрмийн хажууд бич. -RemoteAddress 10.8.0.0/24 VPN пулыг дахин дугаарласан өдөр чимээгүйхэн тохирохоо болих бөгөөд гэмтэл нь анхны алдаатай яг адилхан харагдах тул хоёр дахь үдээс хойш зарцуулдаг. Дүрмүүдийг үйлчилгээ болон эх хүрээгээр нэрлэж, тэдгээрийг -Group хамт байлгаж, пулын тодорхойлолт өөрчлөгдөх бүрт дахин уншаарай. Нэг дэлгэцээр шалгаж болох дүрмийн бүртгэл нь хэн ч олж чадахгүй зөв дүрмээс илүү.

Ангиллыг зөвхөн ангилал нь шийдвэр байх үед өөрчил

Интерфейсийг Хувийн руу шилжүүлэх нь бас ажилладаг бөгөөд энэ нь буруу анхдагч юм. Хувийн профайл нь файл, принтерийн хуваалцалт, сүлжээ илрүүлэлт, алсын ширээ болон суурь шугамаас хамааран илүүг хамарсан олон тооны суурилагдсан зөвшөөрлийн дүрмийг агуулдаг тул VPN адаптерыг дахин ангилах нь тэдгээрийг туннель дахь клиент бүрт нэг дор идэвхжүүлдэг. Нэг хязгаарлагдсан дүрэм нэг үйлчилгээг нэг хүрээнд олгодог. Итгэмжлэхгүй сүлжээнд нэгддэг зөөврийн компьютер дээр энэ ялгаа нь гоёл чимэглэлийн биш.

Ангилал үнэхээр буруу байх тохиолдол бий: оффисын дэд сүлжээ зөөдөг үргэлж асаалттай эсвэл сайт хоорондын туннель нь итгэмжлэгдсэн дэд бүтэц бөгөөд тэр адаптерыг Хувийн гэж тэмдэглэх нь бодлогоор нэг удаа гаргадаг хууль ёсны дизайны шийдвэр юм, тасалбар бүрээр биш. Үүнийг хийхдээ тодорхой хий:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Удирддаг төхөөрөмж дээр эхлээд тохиргоог Бүлгийн бодлого эсвэл MDM-ийн суурь шугам эзэмшиж байгаа эсэхийг шалга. Хэрэв эзэмшиж байвал локал өөрчлөлт дараагийн шинэчлэлтэд буцаагдах бөгөөд gpresult /h түүнийг эзэмшдэг бодлогыг нэрлэнэ; тэнд засаарай, төгсгөлийн цэг дээр биш.

Хоёр талаас баталгаажуулж, ул мөр үлдээ

Хэрэглэгчийн мэдээлсэн урсгалыг клиентээс, өөрчлөлтийн дараа баталгаажуул:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Дараа нь ирэх долоо хоногт эвдрэх зүйлс дээр циклийг хаа. Хостыг дахин эхлүүлж дахин тестлээрэй, учир нь буруу профайлд хязгаарлагдсан дүрэм адаптер өөр ангилалд эргэж ирэх хүртэл үргэлжлүүлэн ажилладаг. Хоёр дахь клиентээс туршиж үзээрэй, учир нь хуучирсан түрээстэй нэг клиент пулын зөрүүг нууж чадна. Нэмсэн дүрмээ хассан дүрэмтэй харьцуул, учир нь давхардсан үл хамаарах зүйлс нь хоёр мөрт засвар хэний ч хянаж чадахгүй шүүлтийн бодлого болох зам юм.

Дууссан гэж хэлэхийн өмнө:

• Дүрэмд нэрлэсэн профайл нь замын хөдөлгөөн ирж буй интерфейсийн профайл юм.
• Алслагдсан хүрээ нь VPN пул бөгөөд энэ пул нь серверийн үнэхээр олгодогтой тохирдог.
• Таны нэмсэн ямар ч дүрэм -RemoteAddress Any Нийтийн профайлд ашиглахгүй.
• Тест давахын тулд юу ч идэвхгүй болгоогүй бөгөөд ангиллын аливаа өөрчлөлт хэн зөвшөөрснийг бүртгэдэг.