De ce adaptorul VPN rămâne pe profilul public al paravanului

Tunelul este activ, contul a fost autentificat față de domeniu, iar Windows etichetează în continuare conexiunea ca publică. Prin urmare, o regulă de paravan scrisă pentru profilul de domeniu nu se aplică, iar partajarea de fișiere rămâne inaccesibilă. Încercarea obișnuită de remediere este să setați adaptorul pe privat, ceea ce schimbă ce reguli se aplică fără a schimba nimic la autentificare. Atât eticheta, cât și remedierea sunt larg neînțelese, iar separarea lor necesită trei comenzi.

Contul care s-a conectat nu este categoria rețelei

În timpul unei conexiuni VPN se iau două decizii diferite și este ușor să le confundați. Gateway-ul decide dacă contul se poate conecta. Windows decide cum să clasifice rețeaua rezultată, iar acea clasificare determină ce reguli de paravan se aplică interfeței.

O autentificare de domeniu reușită la gateway este o dovadă despre cont. Nu este o dovadă că punctul final a autentificat rețeaua față de un controler de domeniu, iar exact asta reprezintă categoria de domeniu.

De aceea o mașină poate fi unită la un domeniu, se poate conecta cu un cont de domeniu și totuși poate afișa public. Clasificarea este o determinare locală despre rețea, nu o afirmație despre acreditările care au deschis tunelul. Contul poate fi perfect valid în timp ce eticheta rămâne unde a început.

Trei categorii, dintre care una nu poate fi setată

Windows expune trei categorii și doar două dintre ele pot fi atribuite de un administrator. A treia este decisă de sistemul de operare după ce autentifică reușit rețeaua față de un controler de domeniu.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

A treia comandă eșuează, iar acesta este comportamentul documentat și nu o problemă de permisiuni. Referința comenzii în sine arată că categoria de domeniu nu poate fi atribuită astfel, deoarece Windows o derivă din autentificarea de domeniu. Vederea erorii este o confirmare utilă că categoria este o consecință, nu o setare.

Citiți prima comandă pe punctul final al cărui trafic este blocat. Clasificarea interfeței gateway-ului nu vă spune nimic despre modul în care fiecare stație de lucru care se conectează și-a clasificat tunelul.

Regulile urmează profilul pentru care au fost scrise

Odată ce cunoașteți categoria, accesul lipsă se explică de obicei de la sine. Fiecare regulă a paravanului Windows are un domeniu de profil, iar o regulă limitată la domeniu nu se aplică atunci când interfața este publică. Trei comenzi transformă asta într-un răspuns și nu într-o teorie, iar a treia prinde cazul în care profilul nu a fost niciodată problema:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

A doua comandă este cea care transformă un raport vag într-o remediere. Dacă regula este limitată la un interval de adrese la distanță care nu include pool-ul VPN, nici schimbarea profilului nu va ajuta.

Verificați și acțiunea implicită pentru traficul de intrare. Pe o mașină unde intrarea este blocată implicit, o regulă de permisiune lipsă produce tăcere în loc de un refuz. Din partea clientului asta arată identic cu o eroare de rutare, motiv pentru care atât de multe dintre aceste tichete încep cu presupunerea greșită.

Stabiliți care mașină aplică regula

Înainte de a schimba o categorie, stabiliți unde are loc blocarea. Serverul care găzduiește partajarea poate avea propriul paravan, iar regulile lui se aplică traficului care vine din pool-ul VPN indiferent cum clientul și-a etichetat adaptorul. Un refuz acolo este invizibil pentru orice comandă locală pe care o rulați, iar partea clientului raportează doar că resursa nu este disponibilă. Testați regulile proprii ale destinației înainte de a atinge clasificarea clientului.

Testați de la client la portul specific, apoi comparați cu un test de pe alt host din același VPN. Dacă ambele eșuează, problema este la destinație sau pe traseu. Dacă doar unul eșuează, diferența este locală acelei mașini, iar categoria de profil devine o cauză plauzibilă.

Țineți cont și de direcție. O regulă care permite SMB de intrare nu face nimic pentru un client a cărui regulă de ieșire blochează același trafic. Dintr-o fereastră de Explorer de fișiere cele două eșecuri sunt indistinguibile, așa că testați fiecare direcție separat înainte de a edita ceva.

Ce să faceți în loc să reetichetați totul

A face privată o rețea neidentificată pentru a satisface o regulă largă este o schimbare reală cu consecințe reale. Profilul privat permite de obicei mai multă descoperire și mai mult trafic de intrare decât cel public.

Dacă scopul este să lăsați un serviciu anume să ajungă la clienții VPN, limitați regula după adresa la distanță și nu după profil. Asta exprimă intenția precis, funcționează indiferent de clasificare și nu depinde de faptul că Windows ghicește corect un adaptor virtual. Supraviețuiește și unei actualizări a clientului care reclasifică interfața. Scrieți pool-ul în regulă și următoarea persoană va putea citi intenția fără să întrebe.

Dacă categoria de domeniu este într-adevăr așteptată și nu apare niciodată, aceasta este o investigație separată. Verificați dacă mașina este unită la domeniu, dacă poate ajunge la un controler de domeniu prin tunel și dacă canalul securizat este sănătos. Aceste trei comenzi răspund fără o singură modificare de registru:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Aceste trei răspund dacă punctul final ar fi putut autentifica rețeaua. Dacă nu poate ajunge la un controler, categoria de domeniu nu va fi niciodată atribuită, indiferent de câte ori este resetat adaptorul. Regula de paravan pe care o urmăreați nu a fost niciodată problema reală, iar eticheta era un simptom al unei căi rupte, nu o cauză.