د Windows عام فایر وال پروفایل له امله VPN کلاینټونه بندېږي

ستاسو ټنل روان دی، ګېټوې ping ته ځواب وایي، او د فایل شریکول بیا هم وخت ختموي۔ دا ترکیب په ندرت سره د لارې ستونزه وي: Windows د VPN اډاپټر سبنیټ په عام پروفایل کې اېښی دی، او د خصوصي یا ډومېن لپاره لیکل شوې هره اجازه قاعده هېڅکله نه ده پلي شوې۔ ما دا په هغو لپ ټاپونو کې لیدلې چې دفتر ته ښه رسېږي او په هغو RRAS سرورونو کې هم چې نورو ټولو کلاینټونو ته خدمت کوي، او کله چې اړوند پروفایل ونوموئ سمون لنډ دی۔ دا زما د کار ترتیب دی، له هغې ګوتنې سره چې وایي د بل ګام دمخه کله ودرېږئ۔

ومومئ چې ټرافیک واقعاً په کوم پروفایل راځي

Windows فایر وال یو واحد نړیوال حالت نه لري۔ هره نښلول شوې انټرفېس یوه کټګوري لري، او داخلي پاکټونه د هغې انټرفېس کټګورۍ له مخې فلټر کېږي چې پرې راځي، نو په ټنل کې د کلاینټ لاسرسی د VPN اډاپټر پروفایل ټاکي، نه څنګ ته Wi-Fi یا ایترنټ اډاپټر۔ له هر بدلون دمخه دواړه حقایق ولولئ:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

په عادي OpenVPN یا WireGuard نصب کې VPN اډاپټر د نامعلومې شبکې په توګه ښکاري او په عام پروفایل کې لوېږي، چې د Windows لپاره د هرهغې شبکې تلواله ده چې نه شي درجه‌بندي کولای: هېڅ ډومېن کنټرولر پرې ځواب نه دی ویلی او هېڅ ګېټوې پروفایل نه دی برابر شوی۔ د انټرفېس نوم دلته مهم نه دی، نو اډاپټر ته "VPN" یا "Corp" ویل هېڅ نه بدلوي۔ DomainAuthenticated د ډومېن سره تړلي ماشین ته اړتیا لري ، او باید واقعاً د هغې انټرفېس له لارې ډومېن کنټرولر ته ورسېږي؛ یوازې یو سبنیټ وړونکی ووېشل شوی ټنل دا شرط نه پوره کوي۔

که هغه قاعده چې تاسو ته اړینه ده لا دمخه د VPN پول پورې محدوده ده او لا دمخه پر هغې کټګورۍ پلي کېږي چې همدا اوس ولولئ، نو همدلته ودرېږئ: فلټر کول ستاسو پوړ نه دی، او بل ځای چې باید وګورو د خدمت ترتیب دی۔ دا ګوته لس ثانیې اخلي او یو ساعت د قاعدو سمون خوندي کوي۔ د کټګوریو نومونه او هر یو څه پوښي، په Get-NetConnectionProfile حواله کې مستند دي۔

د قاعدو له سمون دمخه تایید کړئ چې دا فلټر کول دي، لار نه

Ping کمزورې ازموینه ده۔ ICMP تېرېدلی شي پداسې حال کې چې د خدمت پورټ غورځول کېږي، او کوربه له LAN څخه ځواب ورکولی شي پداسې حال کې چې هماغه غوښتنه د ټنل له لارې ردوي۔ هغه پورټ چې کلاینټ ته اړین دی، له کلاینټ څخه ازموئ:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

که د پورټ ازموینه ناکامه شي، دواړه پوړونه جلا کړئ۔ د ټنل یا لارې خرابي معمولاً د ګېټوې پتې څخه د هېڅ ځواب نه راتلو په ډول ښکاري، خو د فایر وال غورځول هغه ګېټوې ښيي چې ځواب وایي او هغه خدمت پورټ چې ځواب نه وایي۔ په هغه Windows سرور چې پول د RRAS له لارې خپروي، هماغه ازموینه له کلاینټ څخه وچلوئ او د سرور خپل پروفایل ولولئ: RAS انټرفېس کېدای شي په داسې کټګورۍ کې وي چې داخلي قاعدې یې د کلاینټ حد هېڅکله نه یادوي، او همدې لامل دا ماشین خپل LAN ته خدمت کوي او په ټنل کې هر کلاینټ ردوي۔

کله چې پایله لا هم ناڅرګنده وي، د اړوند پروفایل غورځول ثبت کړئ او هغه ولولئ:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

هغه ننوتنې چې د کلاینټ پته او پورټ د DROP سره یادوي قاطعې دي، او همدارنګه وایي کومه قاعده ورکه وه۔ هغه لاګ چې هېڅ نه لري پداسې حال کې چې د کلاینټ SYN هېڅکله نه ښکاري، د کوربه پورتنۍ خوا ته اشاره کوي، نو له بل فایر وال شي سره له لاس وهلو دمخه ټنل، NAT قاعده یا د پول لارې ته بېرته لاړ شئ۔

یوه داخلي قاعده د کلاینټ پول پورې محدوده کړئ

سمون یوه داخلي اجازه قاعده ده چې لرې پته یې پول دی، نه ټوله نړۍ۔ له لوړ شوې ناستې څخه:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

کله چې خدمت یو واحد باینري فایل وي، د پورټ لیست پر ځای -Program پارامیټر لرونکې پروګرام-محدوده قاعده غوره کړئ؛ دا استثنا دواړه پروسې او د سرچینې حد پورې محدودوي۔

د پروفایل ټاکنه هغه ځای دی چې هماغه تېروتنه په مخالف لوري کې کېږي۔ -Profile Public کافي ده کله چې اډاپټر عام وي او عام پاتې شي۔ -Profile Any هغه وخت توجیه کېدای شي چې خدمت باید پرته له دې چې Windows اډاپټر څنګه درجه‌بندي کوي کار وکړي، خو یوازې تر هغې چې لرې حد پاتې وي۔ هغه څه چې هېڅکله توجیه کېدای نه شي -RemoteAddress Any په عام پروفایل کې دي: هغه قاعده لپ ټاپ له ځانه سره هر هغه کافي او هوټل شبکې ته وړي چې ورته ننوځي او پورټ هر هغه چاته پرانیزي چې هغه سبنیټ شریکوي۔

پول د قاعدې ترڅنګ ولیکئ۔ -RemoteAddress 10.8.0.0/24 په هغه ورځ چې VPN پول بیا شمېرل کېږي په چوپ ډول برابرېدل بندوي، او خرابي سم د اصلي باګ په څېر ښکاري، له همدې امله بله ماسپښین خوري۔ قاعدې د خدمت او د سرچینې حد په نوم ونوموئ، هغه له -Group سره وساتئ، او هر کله چې د پول تعریف بدل شي بیا یې ولولئ۔ هغه د قاعدو لیست چې په یوه سکرین کې یې پلټنه کولی شئ له هغې سمې قاعدې غوره دی چې هیچا نه مومي۔

کټګوري یوازې هغه وخت بدله کړئ چې کټګوري پخپله پرېکړه وي

انټرفېس خصوصي ته بدلول هم کار کوي، او دا غلطه تلواله ده۔ خصوصي پروفایل ډېرې جوړې شوې اجازه قاعدې لري، چې د فایل او پرنټر شریکول، د شبکې موندنه، لرې ډسکټاپ او د بنسټیزې کرښې له مخې نور ډېر پوښي، نو د VPN اډاپټر بیا درجه‌بندي هغه ټولې په ټنل کې هر کلاینټ لپاره یوځای فعالوي۔ یوه محدوده قاعده یو خدمت یوې حد ته ورکوي۔ په هغه لپ ټاپ چې نا باوري شبکو ته هم ننوځي، دا توپیر ظاهري نه دی۔

داسې حالتونه شته چې درجه‌بندي واقعاً غلطه ده: هغه ټنل چې تل روان وي یا د سایت تر سایت وي او د دفتر سبنیټ وړي باوري زیربنا ده، او هغه اډاپټر خصوصي نښه کول یو ځل د پالیسۍ له مخې اخیستل شوې قانوني ډیزاین پرېکړه ده، نه د هر ټکټ لپاره۔ کله چې یې کوئ، ښکاره یې کوئ:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

په مدیریت شوې وسیله کې لومړی وګورئ چې تنظیم د ګروپ پالیسۍ یا MDM بنسټیزې کرښې ملکیت کې دی که نه۔ که وي، سیمه‌ای بدلون په راتلونکې تازه کې بېرته اخیستل کېږي، او gpresult /h به هغه پالیسي ونوموي چې مالک یې دی؛ همهلته یې سم کړئ، په پای ټکي کې نه۔

له دواړو خواوو تایید کړئ او نښه پرېږدئ

له بدلون وروسته هغه بهیر چې کاروونکي راپور کړی له کلاینټ څخه تایید کړئ:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

بیا د راتلونکې اونۍ هغو شیانو چې ماتېږي حلقه بنده کړئ۔ کوربه بیا پیل کړئ او بیا ازموینه وکړئ، ځکه چې غلط پروفایل پورې محدوده قاعده تر هغې کار کوي چې اډاپټر په بله کټګورۍ کې بېرته راشي۔ له دوهم کلاینټ څخه ازموینه وکړئ، ځکه چې یو کلاینټ چې زوړ کرایه لري د پول ناسمونې پټولی شي۔ اضافه شوې قاعدې د لرې شوو قاعدو سره وشمېرئ، ځکه چې یو بل ته ننوتلې استثناوې هغه لار ده چې د دوو کرښو سمون په داسې فلټر کولو پالیسي بدلوي چې هیچا نه شي بیا کتلی۔

له دې دمخه چې بشپړ یې وبولئ:

• په قاعده کې نومول شوی پروفایل هغه انټرفېس پروفایل دی چې ټرافیک پرې راځي۔
• لرې حد د VPN پول دی، او هغه پول له هغه څه سره برابر دی چې سرور واقعاً ورکوي۔
• په هغو قاعدو کې چې تاسو یې اضافه کړې، هېڅ یوه هم -RemoteAddress Any په عام پروفایل کې نه کاروي۔
• د ازموینې د تېرولو لپاره هېڅ شی بند نه شو، او هره کټګوري بدلون ثبتوي چې چا تصویب کړ۔