Mengapa penyesuai VPN anda kekal pada profil firewall awam

Terowong aktif, akaun telah disahkan terhadap domain, namun Windows masih melabelkan sambungan sebagai awam. Oleh itu peraturan firewall yang ditulis untuk profil domain tidak terpakai, dan perkongsian fail kekal tidak dapat dicapai. Cubaan pembetulan biasa ialah menetapkan penyesuai kepada peribadi, yang mengubah peraturan mana yang terpakai tanpa mengubah apa-apa pada pengesahan. Kedua-dua label dan pembetulan itu disalah faham secara meluas, dan memisahkannya memerlukan tiga arahan.

Akaun yang menyambung bukan kategori rangkaian itu

Dua keputusan berbeza dibuat semasa sambungan VPN dan mudah dikelirukan. Gateway memutuskan sama ada akaun boleh menyambung. Windows memutuskan cara mengklasifikasikan rangkaian yang terhasil, dan klasifikasi itulah yang menentukan peraturan firewall mana yang terpakai pada antara muka.

Pengesahan domain yang berjaya di gateway ialah bukti tentang akaun. Ia bukan bukti bahawa titik akhir telah mengesahkan rangkaian terhadap pengawal domain, dan itulah yang sebenarnya diwakili oleh kategori domain.

Itulah sebabnya mesin boleh disertai domain, menyambung dengan akaun domain, dan masih menunjukkan awam. Klasifikasi itu ialah penentuan setempat tentang rangkaian, bukan kenyataan tentang kelayakan yang membuka terowong. Akaun boleh sah sepenuhnya sementara label kekal di tempat ia bermula.

Tiga kategori, satu daripadanya tidak boleh anda tetapkan

Windows mendedahkan tiga kategori dan hanya dua daripadanya boleh diberikan oleh pentadbir. Yang ketiga ditentukan oleh sistem pengendalian selepas ia berjaya mengesahkan rangkaian terhadap pengawal domain.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Arahan ketiga gagal, dan itu ialah tingkah laku yang didokumenkan, bukan masalah kebenaran. Rujukan arahan itu sendiri menyatakan bahawa kategori domain tidak boleh diberikan dengan cara ini, kerana Windows memperolehnya daripada pengesahan domain. Melihat ralat itu ialah pengesahan berguna bahawa kategori ialah akibat, bukan tetapan.

Baca arahan pertama pada titik akhir yang trafiknya disekat. Klasifikasi antara muka gateway sendiri tidak memberitahu anda apa-apa tentang cara setiap stesen kerja yang menyambung mengklasifikasikan terowongnya.

Peraturan mengikut profil yang ia ditulis untuknya

Setelah anda tahu kategorinya, akses yang hilang biasanya menjelaskan dirinya sendiri. Setiap peraturan Windows Firewall membawa skop profil, dan peraturan yang terhad kepada domain tidak terpakai apabila antara muka awam. Tiga arahan menjadikannya jawapan dan bukan teori, dan yang ketiga menangkap kes apabila profil tidak pernah menjadi masalah:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Arahan kedua ialah yang mengubah laporan kabur menjadi pembetulan. Jika peraturan itu terhad kepada julat alamat jauh yang tidak merangkumi kolam VPN, menukar profil juga tidak akan membantu.

Periksa juga tindakan masuk lalai. Pada mesin yang trafik masuknya disekat secara lalai, peraturan kebenaran yang tiada menghasilkan kesenyapan dan bukannya penolakan. Dari sisi klien itu kelihatan sama seperti kegagalan penghalaan, dan itulah sebabnya banyak tiket seperti ini bermula dengan andaian yang salah.

Tentukan mesin mana yang menguatkuasakan peraturan itu

Sebelum menukar kategori, tetapkan di mana penyekatan berlaku. Pelayan yang menghos perkongsian mungkin mempunyai firewall sendiri, dan peraturannya terpakai pada trafik yang tiba dari kolam VPN tanpa mengira bagaimana klien melabelkan penyesuainya. Penolakan di sana tidak kelihatan kepada mana-mana arahan setempat yang anda jalankan, dan sisi klien hanya melaporkan bahawa sumber tidak tersedia. Uji peraturan destinasi itu sendiri sebelum menyentuh klasifikasi klien.

Uji dari klien ke port tertentu, kemudian bandingkan dengan ujian dari hos lain pada VPN yang sama. Jika kedua-duanya gagal, masalahnya di destinasi atau di laluan. Jika hanya satu gagal, perbezaannya setempat pada mesin itu, dan kategori profil menjadi punca yang mungkin.

Ingat juga arahnya. Peraturan yang membenarkan SMB masuk tidak melakukan apa-apa untuk klien yang peraturan keluarnya sendiri menyekat trafik yang sama. Dari tetingkap penjelajah fail kedua-dua kegagalan tidak dapat dibezakan, jadi uji setiap arah secara berasingan sebelum mengedit apa-apa.

Apa yang perlu dilakukan daripada melabel semula semuanya

Menjadikan rangkaian tidak dikenali sebagai peribadi untuk memenuhi peraturan yang luas ialah perubahan sebenar dengan akibat sebenar. Profil peribadi biasanya membenarkan lebih banyak penemuan dan lebih banyak trafik masuk daripada yang awam.

Jika matlamatnya ialah membenarkan perkhidmatan tertentu mencapai klien VPN, hadkan peraturan mengikut alamat jauh dan bukan mengikut profil. Itu menyatakan niat dengan tepat, berfungsi tanpa mengira klasifikasi, dan tidak bergantung pada Windows meneka dengan betul tentang penyesuai maya. Ia juga bertahan daripada kemas kini klien yang mengklasifikasikan semula antara muka. Tulis kolam itu dalam peraturan dan orang seterusnya boleh membaca niat tanpa bertanya.

Jika kategori domain benar-benar dijangka dan tidak pernah muncul, itu penyiasatan berasingan. Periksa bahawa mesin disertai domain, boleh mencapai pengawal domain melalui terowong, dan saluran selamat sihat. Ketiga-tiga arahan itu menjawabnya tanpa satu pun suntingan registri:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Ketiga-tiganya menjawab sama ada titik akhir boleh mengesahkan rangkaian itu sama sekali. Jika ia tidak dapat mencapai pengawal, kategori domain tidak akan pernah diberikan, berapa kali pun penyesuai ditetapkan semula. Peraturan firewall yang anda kejar itu tidak pernah menjadi masalah sebenar, dan label itu ialah gejala laluan yang rosak, bukan punca.