Għaliex l-adapter VPN tiegħek jibqa' fuq il-profil pubbliku tal-firewall
Id-dħul f'dominju ma jikklassifikax in-netwerk bħala dominju, u Privat mhuwiex sostitut. Aqra l-profil tar-regola, imbagħad il-magna li tinforzaha.
It-tunnel huwa attiv, il-kont ġie awtentikat mad-dominju, u Windows xorta jittikket il-konnessjoni bħala pubblika. Għalhekk regola tal-firewall miktuba għall-profil tad-dominju ma tapplikax, u l-kondiviżjoni tal-fajls tibqa' mhux aċċessibbli. L-attentat ta' tiswija tas-soltu huwa li l-adapter jitqiegħed fuq privat, li jbiddel liema regoli japplikaw mingħajr ma jbiddel xejn fl-awtentikazzjoni. Kemm it-tikketta kif ukoll it-tiswija huma mifhuma ħażin b'mod wiesa', u li tifridhom jeħtieġ tliet kmandi.
Il-kont li daħal mhuwiex il-kategorija tan-netwerk
Matul konnessjoni VPN jittieħdu żewġ deċiżjonijiet differenti u huwa faċli li tħallathom. Il-gateway jiddeċiedi jekk il-kont jistax jikkonnettja. Windows jiddeċiedi kif jikklassifika n-netwerk li jirriżulta, u dik il-klassifikazzjoni tiddetermina liema regoli tal-firewall japplikaw għall-interface.
Awtentikazzjoni tad-dominju b'suċċess fil-gateway hija prova dwar il-kont. Mhijiex prova li l-endpoint awtentika n-netwerk ma' kontrollur tad-dominju, u dan huwa eżattament dak li tirrappreżenta l-kategorija tad-dominju.
Huwa għalhekk li magna tista' tkun ingħaqdet ma' dominju, tikkonnettja b'kont tad-dominju, u xorta turi pubbliku. Il-klassifikazzjoni hija determinazzjoni lokali dwar in-netwerk, mhux dikjarazzjoni dwar il-kredenzjali li fetħu t-tunnel. Il-kont jista' jkun validu għal kollox filwaqt li t-tikketta tibqa' fejn bdiet.
Tliet kategoriji, waħda minnhom ma tistax tissettjaha
Windows jesponi tliet kategoriji u tnejn minnhom biss jistgħu jiġu assenjati minn amministratur. It-tielet waħda tiddeċidiha s-sistema operattiva wara li tawtentika b'suċċess in-netwerk ma' kontrollur tad-dominju.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedIt-tielet kmand ifalli, u dan huwa l-imġiba dokumentata u mhux problema ta' permessi. Ir-referenza tal-kmand stess tgħid li l-kategorija tad-dominju ma tistax tiġi assenjata b'dan il-mod, għax Windows tiddeduciha mill-awtentikazzjoni tad-dominju. Li tara l-iżball hija konferma utli li l-kategorija hija konsegwenza u mhux setting.
Aqra l-ewwel kmand fuq l-endpoint li t-traffiku tiegħu qed jiġi mblukkat. Il-klassifikazzjoni tal-interface tal-gateway stess ma tgħidlek xejn dwar kif kull stazzjon tax-xogħol li jikkonnettja kklassifika t-tunnel tiegħu.
Ir-regoli jsegwu l-profil li nkitbu għalih
Ladarba tkun taf il-kategorija, l-aċċess nieqes normalment jispjega ruħu. Kull regola tal-Windows Firewall ġġorr ambitu tal-profil, u regola limitata għad-dominju ma tapplikax meta l-interface tkun pubblika. Tliet kmandi jibdlu dan fi tweġiba u mhux teorija, u t-tielet waħda taqbad il-każ fejn il-profil qatt ma kien il-problema:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionIt-tieni kmand huwa dak li jbiddel rapport vag fi tiswija. Jekk ir-regola hija limitata għal firxa ta' indirizzi remoti li ma tinkludix il-pool VPN, anki t-tibdil tal-profil mhu se jgħin.
Iċċekkja wkoll l-azzjoni tad-dħul default. Fuq magna fejn id-dħul huwa mblukkat b'mod default, regola ta' permess nieqsa tipproduċi silenzju minflok rifjut. Mill-ġenb tal-klijent dan jidher identiku għal falliment tar-routing, u għalhekk ħafna minn dawn it-tickets jibdew bl-assunzjoni żbaljata.
Stabbilixxi liema magna tinforza r-regola
Qabel tibdel kategorija, stabbilixxi fejn qed isseħħ il-blokk. Is-server li jospita l-kondiviżjoni jista' jkollu l-firewall tiegħu stess, u r-regoli tiegħu japplikaw għat-traffiku li jasl mill-pool VPN irrispettivament minn kif il-klijent ittikketa l-adapter tiegħu. Rifjut hemmhekk huwa inviżibbli għal kull kmand lokali li tmexxi, u l-ġenb tal-klijent jirrapporta biss li r-riżors mhuwiex disponibbli. Ittestja r-regoli tad-destinazzjoni stess qabel ma tmiss il-klassifikazzjoni tal-klijent.
Itestja mill-klijent għall-port speċifiku, imbagħad qabbel ma' test minn host ieħor fuq l-istess VPN. Jekk it-tnejn ifallu, il-problema hija fid-destinazzjoni jew fit-triq. Jekk ifalli biss wieħed, id-differenza hija lokali għal dik il-magna, u l-kategorija tal-profil issir kawża plawsibbli.
Żomm f'moħħok id-direzzjoni wkoll. Regola li tippermetti SMB tad-dħul ma tagħmel xejn għal klijent li r-regola tal-ħruġ tiegħu stess timblokka l-istess traffiku. Mit-tieqa tal-esploratur tal-fajls iż-żewġ fallimenti ma jingħarfux, għalhekk ittestja kull direzzjoni separatament qabel ma teditja xejn.
X'għandek tagħmel minflok terġa' ttikketta kollox
Li tagħmel netwerk mhux identifikat Privat biex tissodisfa regola wiesgħa hija bidla reali b'konsegwenzi reali. Il-profil privat normalment jippermetti aktar skoperta u aktar traffiku tad-dħul mill-pubbliku.
Jekk l-għan huwa li servizz speċifiku jasal għall-klijenti VPN, illimita r-regola bl-indirizz remot minflok bil-profil. Dan jesprimi l-intenzjoni b'mod preċiż, jaħdem irrispettivament mill-klassifikazzjoni, u ma jiddependix fuq li Windows taqta' sew dwar adapter virtwali. Jissopravivi wkoll aġġornament tal-klijent li jerġa' jikklassifika l-interface. Ikteb il-pool fir-regola u l-persuna li jmiss tkun tista' taqra l-intenzjoni mingħajr ma tistaqsi.
Jekk il-kategorija tad-dominju hija tassew mistennija u qatt ma tidher, dik hija investigazzjoni separata. Iċċekkja li l-magna hija ingħaqda ma' dominju, li tista' tilħaq kontrollur tad-dominju mit-tunnel, u li l-kanal sigur huwa f'saħħtu. Dawn it-tliet kmandi jwieġbu għal dan mingħajr ebda bidla tar-reġistru:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comDawn it-tlieta jwieġbu jekk l-endpoint setax litteralment jawtentika n-netwerk. Jekk ma jistax jilħaq kontrollur, il-kategorija tad-dominju qatt mhi se tiġi assenjata, kemm-il darba l-adapter jerġa' jiġi rrisettjat. Ir-regola tal-firewall li kont qed tiġri warajha qatt ma kienet il-problema vera, u t-tikketta kienet sintomu ta' triq maqtugħa, mhux kawża.