Klijenti VPN imblokkati mill-profil Pubbliku tal-firewall ta' Windows

Windows jikklassifika l-adapter VPN bħala Pubbliku, għalhekk ir-regoli LAN tiegħek qatt ma japplikaw. Iċċekkja l-profil, illimita regola waħda tal-input għall-pool, imbagħad ivverifika l-port.

It-tunnel tiegħek huwa attiv, il-gateway iwieġeb għall-ping, u l-kondiviżjoni tal-fajls xorta tispiċċa b'konnessjoni skaduta. Din il-kombinazzjoni rari tkun problema ta' routing: Windows poġġa s-subnet tal-adapter VPN fil-profil Pubbliku, u kull regola tal-permess miktuba għal Privat jew Dominju qatt ma ġiet applikata. Laqtit dan fuq laptops li jilħqu l-uffiċċju mingħajr problema u fuq servers RRAS li jaqdu lill-klijenti l-oħra kollha, u t-tiswija hija qasira hekk kif issemmi l-profil involut. Hawn hu l-ordni li naħdem fiha, flimkien mal-verifika li tgħidlek meta tieqaf qabel il-pass li jmiss.

Sib liema profil it-traffiku tassew jasal fuqu

Il-firewall ta' Windows m'għandu l-ebda mod globali wieħed. Kull interface konnessa ġġorr kategorija, u l-pakketti li jidħlu jiġu ffiltrati skont il-kategorija tal-interface li jasal minnha, għalhekk il-profil tal-adapter VPN jiddetermina x'jista' jilħaq klijent fit-tunnel, mhux l-adapter Wi-Fi jew Ethernet ħdejh. Aqra ż-żewġ fatti qabel ma tibdel xejn:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

F'installazzjoni standard ta' OpenVPN jew WireGuard l-adapter VPN jidher bħala netwerk mhux identifikat u jaqa' fil-Pubbliku, li huwa l-default għal kull netwerk li Windows ma jistax jikklassifika: l-ebda kontrollur tad-dominju ma wieġeb minnu u l-ebda profil tal-gateway ma qabel. L-isem tal-interface mhuwiex rilevanti hawn, għalhekk li ssejjaħ l-adapter "VPN" jew "Corp" ma jbiddel xejn. DomainAuthenticated jeħtieġ magna magħquda mad-dominju , li tista' tassew tilħaq kontrollur tad-dominju minn dak l-interface; tunnel maqsum li jġorr biss subnet wieħed mhux se jissodisfa dan.

Jekk ir-regola li għandek bżonn diġà hija limitata għall-pool VPN u diġà tapplika għall-kategorija li għadek kemm qrajt, ieqaf hawn: il-filtrazzjoni mhix il-livell tiegħek, u l-post li jmiss biex tħares huwa l-konfigurazzjoni tas-servizz. Dik il-verifika tieħu għaxar sekondi u tiffranka siegħa ta' editjar tar-regoli. L-ismijiet tal-kategoriji u x'tkopri kull waħda huma dokumentati fir- referenza ta' Get-NetConnectionProfile.

Ivverifika l-filtrazzjoni, mhux ir-routing, qabel ma teditja r-regoli

Il-ping huwa test dgħajjef. ICMP jista' jgħaddi waqt li l-port tas-servizz jiġi skartat, u host jista' jwieġeb mil-LAN waqt li jirrifjuta l-istess talba mit-tunnel. Ipprova l-port li l-klijent jeħtieġ, mill-klijent:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Jekk it-test tal-port ifalli, aqsam iż-żewġ livelli. Ħsara fit-tunnel jew fir-rotta normalment tidher bħala l-ebda tweġiba mill-indirizz tal-gateway, filwaqt li skart mill-firewall juri gateway li jwieġeb u port tas-servizz li ma jwiġibx. Fuq server Windows li jippubblika l-pool permezz ta' RRAS, wettaq l-istess test minn klijent u aqra l-profil tal-server innifsu: l-interface RAS tista' tkun f'kategorija li r-regoli tagħha tal-input qatt ma jsemmu l-firxa tal-klijenti, u għalhekk il-magna taqdi l-LAN tagħha u tirrifjuta kull klijent fit-tunnel.

Meta r-riżultat għadu ambigwu, irreġistra l-isparti għall-profil involut u aqrahom:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

L-entrati li jsemmu l-indirizz u l-port tal-klijent bid-DROP huma konklużivi, u jgħidulek ukoll liema regola kienet nieqsa. Log mingħajr xejn fih, filwaqt li s-SYN tal-klijent qatt ma jidher, jindika lil fuq mill-host, għalhekk mur lura għat-tunnel, għar-regola NAT jew għar-rotta tal-pool qabel ma tmiss oġġett ieħor tal-firewall.

Illimita regola waħda tal-input għall-pool tal-klijenti

It-tiswija hija regola waħda tal-input tal-permess li l-indirizz remot tagħha huwa l-pool, mhux id-dinja kollha. Minn sessjoni elevata:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Meta s-servizz huwa binariu wieħed, ippreferi regola limitata għall-programm bl- -Program minflok lista tal-ports; dan jillimita l-eċċezzjoni kemm għall-proċess kif ukoll għall-firxa tas-sors.

L-għażla tal-profil hija fejn l-istess żball isir fid-direzzjoni opposta. -Profile Public biżżejjed meta l-adapter huwa Pubbliku u jibqa' Pubbliku. -Profile Any huwa difendibbli meta s-servizz irid jaħdem irrispettivament minn kif Windows jikklassifika l-adapter, iżda biss sakemm jibqa' l-ambitu remot. Dak li qatt mhuwa difendibbli huwa -RemoteAddress Any fil-profil Pubbliku: dik ir-regola ssegwi l-laptop f'kull netwerk ta' kafetterija u lukanda li jidħol fih u tiftaħ il-port lil kull min jaqsam dak is-subnet.

Innota l-pool ħdejn ir-regola. -RemoteAddress 10.8.0.0/24 tieqaf bil-kwiet milli taqbel fil-jum li l-pool VPN jerġa' jiġi nnumerat, u l-ħsara tidher eżattament bħall-bug oriġinali, u għalhekk tiswa t-tieni wara nofsinhar. Semmi r-regoli għas-servizz u l-firxa tas-sors, żommhom flimkien mal- -Group, u erġa' aqrahom kull darba li tinbidel id-definizzjoni tal-pool. Inventarju tar-regoli li tista' tawditja fuq skrin wieħed jegħleb regola korretta li ħadd ma jista' jsib.

Ibdel il-kategorija biss meta l-kategorija hija d-deċiżjoni

Li tibdel l-interface għal Privat jaħdem ukoll, u huwa l-default ħażin. Il-profil Privat iġorr lista twila ta' regoli tal-permess inkorporati, li jkopru kondiviżjoni tal-fajls u l-istampaturi, skoperta tan-netwerk, desktop remot u aktar skont il-linja bażi, għalhekk l-ikklassifikar mill-ġdid tal-adapter VPN jattiva kollha f'daqqa għal kull klijent fit-tunnel. Regola waħda limitata tagħti servizz wieħed lil firxa waħda. Fuq laptop li jidħol ukoll f'netwerks mhux affidabbli, dik id-differenza mhijiex kosmetika.

Hemm każijiet fejn il-klassifikazzjoni hija tassew żbaljata: tunnel dejjem attiv jew bejn is-siti li jġorr subnet tal-uffiċċju huwa infrastruttura affidabbli, u li timmarka dak l-adapter bħala Privat hija għażla tad-disinn leġittima, meħuda darba bil-politika u mhux għal kull biljett. Meta tagħmilha, agħmilha b'mod espliċitu:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Fuq apparat immaniġġjat, iċċekkja l-ewwel jekk Politika tal-Grupp jew linja bażi MDM tippossjedix is-setting. Jekk tippossjediha, il-bidla lokali tiġi annullata fl-aġġornament li jmiss, u gpresult /h issemmi l-politika li tippossjediha; sewwiha hemmhekk, mhux fil-punt tat-tmiem.

Ivverifika miż-żewġt itruf u ħalli traċċa

Ivverifika l-fluss li rrapporta l-utent, mill-klijent, wara l-bidla:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Imbagħad agħlaq iċ-ċirku fuq l-affarijiet li se jinkisru l-ġimgħa d-dieħla. Erġa' ibda l-host u erġa' ittestja, għax regola limitata għall-profil ħażin tibqa' taħdem sakemm l-adapter jerġa' lura f'kategorija oħra. Ipprova minn klijent ieħor, għax klijent wieħed b'kiri antik jista' jaħbi nuqqas ta' qbil fil-pool. Għodd ir-regoli li żidt kontra dawk li neħħejt, għax l-eċċezzjonijiet li jikkoinċidu huma l-mod kif tiswija ta' żewġ linji ssir politika ta' filtrazzjoni li ħadd ma jista' jirrevedi.

Qabel ma tgħid li spiċċa:

  • Il-profil imsemmi fir-regola huwa l-profil fuq l-interface li t-traffiku jasal fuqha.
  • L-ambitu remot huwa l-pool VPN, u dak il-pool jaqbel ma' dak li s-server fil-fatt jagħti.
  • L-ebda regola li żidt ma tuża -RemoteAddress Any fil-profil Pubbliku.
  • Xejn ma ġie diżattivat biex jgħaddi t-test, u kull bidla fil-kategorija tirreġistra min approvaha.

Artikli relatati