तपाईंको VPN एडाप्टर सार्वजनिक फायरवाल प्रोफाइलमा किन रहन्छ
डोमेनमा साइन-इन गर्दा नेटवर्क डोमेनको रूपमा वर्गीकृत हुँदैन, र निजी विकल्प होइन। पहिले नियमको प्रोफाइल पढ्नुहोस्, त्यसपछि त्यो लागू गर्ने मेसिन।
टनेल चालु छ, खाता डोमेनसँग प्रमाणित भइसकेको छ, तैपनि Windows ले जडानलाई सार्वजनिक भनी लेबल गर्छ। त्यसैले डोमेन प्रोफाइलका लागि लेखिएको फायरवाल नियम लागू हुँदैन, र फाइल साझेदारी पहुँचबाट बाहिर रहन्छ। सुधार्ने सामान्य प्रयास एडाप्टरलाई निजीमा सेट गर्नु हो, जसले कुन नियम लागू हुन्छन् त्यो बदल्छ तर प्रमाणीकरणमा केही पनि बदल्दैन। लेबल र सुधार दुवै व्यापक रूपमा गलत बुझिन्छन्, र तिनलाई छुट्याउन तीन आदेश चाहिन्छ।
जडान भएको खाता नेटवर्कको श्रेणी होइन
VPN जडानका क्रममा दुई फरक निर्णय लिइन्छ र तिनलाई मिसाउनु सजिलो छ। गेटवेले खाता जडान हुन सक्छ कि भनी निर्णय गर्छ। Windows ले परिणामस्वरूप बनेको नेटवर्कलाई कसरी वर्गीकृत गर्ने भनी निर्णय गर्छ, र त्यही वर्गीकरणले इन्टरफेसमा कुन फायरवाल नियम लागू हुने निर्धारण गर्छ।
गेटवेमा सफल डोमेन प्रमाणीकरण खाताबारे प्रमाण हो। यो एन्डपोइन्टले नेटवर्कलाई डोमेन नियन्त्रकसँग प्रमाणित गरेको प्रमाण होइन, र डोमेन श्रेणीले ठ्याक्कै त्यही जनाउँछ।
त्यसैले एउटा मेसिन डोमेन-जोडिएको हुन सक्छ, डोमेन खाताबाट जडान हुन सक्छ र तैपनि सार्वजनिक देखाउन सक्छ। वर्गीकरण नेटवर्कबारे स्थानीय निर्धारण हो, टनेल खोल्ने प्रमाणहरूबारे वक्तव्य होइन। खाता पूर्ण रूपमा मान्य हुन सक्छ जबकि लेबल जहाँ सुरु भयो त्यहीँ रहन्छ।
तीन श्रेणी, जसमध्ये एक तपाईंले सेट गर्न सक्नुहुन्न
Windows ले तीन श्रेणी देखाउँछ र तीमध्ये दुई मात्र प्रशासकले तोक्न सक्छ। तेस्रो ऑपरेटिङ सिस्टमले नेटवर्कलाई डोमेन नियन्त्रकसँग सफलतापूर्वक प्रमाणित गरेपछि निर्णय गर्छ।
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedतेस्रो आदेश असफल हुन्छ, र त्यो अनुमति समस्या नभई अभिलेखित व्यवहार हो। आदेशको आफ्नै सन्दर्भले डोमेन श्रेणी यसरी तोक्न नसकिने बताउँछ, किनकि Windows ले यसलाई डोमेन प्रमाणीकरणबाट निकाल्छ। त्रुटि देख्नु श्रेणी सेटिङ नभई परिणाम हो भन्ने उपयोगी पुष्टि हो।
पहिलो आदेश त्यो एन्डपोइन्टमा पढ्नुहोस् जसको ट्राफिक अवरुद्ध छ। गेटवेको आफ्नै इन्टरफेसको वर्गीकरणले प्रत्येक जडान हुने वर्कस्टेसनले आफ्नो टनेल कसरी वर्गीकृत गर्यो भन्नेबारे केही बताउँदैन।
नियम आफू लेखिएको प्रोफाइलको पछि लाग्छन्
श्रेणी थाहा भएपछि हराएको पहुँच प्रायः आफैं स्पष्ट हुन्छ। प्रत्येक Windows Firewall नियमसँग प्रोफाइल दायरा हुन्छ, र डोमेनमा सीमित नियम इन्टरफेस सार्वजनिक हुँदा लागू हुँदैन। तीन आदेशले यसलाई सिद्धान्तको सट्टा उत्तर बनाउँछन्, र तेस्रोले प्रोफाइल कहिल्यै समस्या नभएको अवस्था समात्छ:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionदोस्रो आदेशले अस्पष्ट प्रतिवेदनलाई सुधारमा बदल्छ। यदि नियम VPN पूल समावेश नगर्ने टाढाका ठेगानाको दायरामा सीमित छ भने प्रोफाइल बदल्दा पनि मद्दत हुँदैन।
पूर्वनिर्धारित इनबाउन्ड क्रियाको पनि जाँच गर्नुहोस्। जहाँ इनबाउन्ड पूर्वनिर्धारित रूपमा अवरुद्ध छ, त्यहाँ अनुपस्थित अनुमति नियमले अस्वीकृतिको सट्टा मौन उत्पन्न गर्छ। ग्राहकको तर्फबाट त्यो राउटिङ असफलतासँग ठ्याक्कै उस्तै देखिन्छ, र त्यसैले यीमध्ये धेरै टिकटहरू गलत अनुमानबाट सुरु हुन्छन्।
कुन मेसिनले नियम लागू गर्छ पत्ता लगाउनुहोस्
श्रेणी बदल्नुअघि अवरोध कहाँ भइरहेको छ निर्धारण गर्नुहोस्। साझेदारी होस्ट गर्ने सर्भरको आफ्नै फायरवाल हुन सक्छ, र त्यसका नियमहरू ग्राहकले आफ्नो एडाप्टरलाई के नाम दियो भन्ने पर्वाह नगरी VPN पूलबाट आउने ट्राफिकमा लागू हुन्छन्। त्यहाँको अस्वीकृति तपाईंले चलाउनुहुने कुनै पनि स्थानीय आदेशलाई अदृश्य हुन्छ, र ग्राहक पक्षले स्रोत उपलब्ध छैन भनेर मात्र जानकारी दिन्छ। ग्राहकको वर्गीकरण छुनुअघि गन्तव्यका आफ्नै नियमहरू परीक्षण गर्नुहोस्।
ग्राहकबाट विशेष पोर्टसम्म परीक्षण गर्नुहोस्, त्यसपछि उही VPN मा रहेको अर्को होस्टबाट गरिएको परीक्षणसँग तुलना गर्नुहोस्। दुवै असफल भए समस्या गन्तव्यमा वा बाटोमा छ। एउटा मात्र असफल भए फरक त्यो मेसिनको लागि स्थानीय हो, र प्रोफाइल श्रेणी सम्भावित कारण बन्छ।
दिशा पनि सम्झनुहोस्। इनबाउन्ड SMB लाई अनुमति दिने नियमले आफ्नै आउटबाउन्ड नियमले त्यही ट्राफिक अवरुद्ध गर्ने ग्राहकका लागि केही गर्दैन। फाइल एक्सप्लोरर विन्डोबाट दुई असफलता छुट्याउन सकिँदैन, त्यसैले केही सम्पादन गर्नुअघि प्रत्येक दिशा छुट्टाछुट्टै परीक्षण गर्नुहोस्।
सबै कुरा पुनः लेबल गर्नुको सट्टा के गर्ने
विस्तृत नियम पूरा गर्न अज्ञात नेटवर्कलाई निजी बनाउनु वास्तविक परिणामसहितको वास्तविक परिवर्तन हो। निजी प्रोफाइलले सामान्यतया सार्वजनिकभन्दा बढी खोज र बढी इनबाउन्ड ट्राफिकलाई अनुमति दिन्छ।
यदि लक्ष्य कुनै विशेष सेवालाई VPN ग्राहकसम्म पुर्याउनु हो भने नियमलाई प्रोफाइलको सट्टा टाढाको ठेगानाद्वारा सीमित गर्नुहोस्। त्यसले मनसाय ठ्याक्कै व्यक्त गर्छ, वर्गीकरणको पर्वाह नगरी काम गर्छ, र Windows ले भर्चुअल एडाप्टरबारे सही अनुमान गर्छ कि भन्नेमा निर्भर हुँदैन। इन्टरफेसलाई पुनः वर्गीकृत गर्ने ग्राहक अद्यावधिकबाट पनि त्यो बाँच्छ। पूललाई नियममा लेख्नुहोस् र अर्को व्यक्तिले नसोधी मनसाय पढ्न सक्नेछ।
यदि डोमेन श्रेणी साँच्चै अपेक्षित छ र कहिल्यै देखिँदैन भने त्यो छुट्टै अन्वेषण हो। मेसिन डोमेन-जोडिएको छ कि, टनेलमार्फत डोमेन नियन्त्रकसम्म पुग्न सक्छ कि, र सुरक्षित च्यानल स्वस्थ छ कि जाँच्नुहोस्। ती तीन आदेशले एक पनि रजिस्ट्री सम्पादन नगरी उत्तर दिन्छन्:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comती तीनले एन्डपोइन्टले नेटवर्कलाई प्रमाणित गर्न सक्थ्यो कि भन्ने उत्तर दिन्छन्। यदि त्यो नियन्त्रकसम्म पुग्न सक्दैन भने डोमेन श्रेणी कहिल्यै तोकिने छैन, एडाप्टर कति पटक रिसेट गरे पनि। तपाईंले पछ्याउनुभएको फायरवाल नियम नै साँचो समस्या थिएन, र लेबल कारण नभई बिग्रिएको बाटोको लक्षण थियो।