Windows හි පොදු ෆයර්වෝල් පැතිකඩ මගින් VPN සේවාදායකයන් අවහිර වේ

Windows VPN ඇඩැප්ටරය පොදු ලෙස වර්ගීකරණය කරයි, එබැවින් ඔබේ LAN නීති කිසි විටෙකත් අදාළ නොවේ. පැතිකඩ පරීක්ෂා කර, එක් ඇතුළත පනතක් තටාකයට සීමා කර, පසුව වරාය තහවුරු කරන්න.

ඔබේ උමග ක්‍රියාත්මකයි, ද්වාරය ping වලට පිළිතුරු දෙයි, ගොනු බෙදාගැනීම තවමත් කාලය ඉක්මවයි. මෙම සංයෝගය කලාතුරකින් මාර්ගගත කිරීමේ ගැටලුවකි: Windows VPN ඇඩැප්ටරයේ උපජාලය පොදු පැතිකඩට දමා ඇත, සහ පුද්ගලික හෝ වසම සඳහා ලියා ඇති සෑම අවසර නීතියක්ම කිසි විටෙකත් යෙදී නැත. කාර්යාලයට හොඳින් ළඟා වන ලැප්ටොප් පරිගණකවල සහ අනෙකුත් සියලුම සේවාදායකයන්ට සේවය කරන RRAS සේවාදායකවල මෙය දැක ඇත, සහ අදාළ පැතිකඩ නම් කළ විට අලුත්වැඩියාව කෙටිය. මෙය මගේ වැඩ අනුපිළිවෙළයි, ඊළඟ පියවරට පෙර නවතින්නේ කවදාදැයි කියන පරීක්ෂාව සමඟ.

රථවාහන ඇත්ත වශයෙන්ම පැමිණෙන්නේ කුමන පැතිකඩටදැයි සොයා ගන්න

Windows ෆයර්වෝල් සඳහා එකම ගෝලීය මාදිලියක් නොමැත. සෑම සම්බන්ධිත අතුරුමුහුණතක්ම වර්ගයක් දරයි, සහ ඇතුළත පැකට් පැමිණෙන අතුරුමුහුණතේ වර්ගය අනුව පෙරහන් වේ, එබැවින් උමග තුළ සිටින සේවාදායකයාට ළඟා විය හැකි දේ VPN ඇඩැප්ටරයේ පැතිකඩ තීරණය කරයි, පැත්තේ ඇති Wi-Fi හෝ ඊතර්නෙට් ඇඩැප්ටරය නොවේ. කිසිවක් වෙනස් කිරීමට පෙර කරුණු දෙකම කියවන්න:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

සාමාන්‍ය OpenVPN හෝ WireGuard ස්ථාපනයකදී VPN ඇඩැප්ටරය හඳුනා නොගත් ජාලයක් ලෙස දිස්වී පොදු පැතිකඩට වැටේ, එය Windows වර්ගීකරණය කළ නොහැකි ඕනෑම ජාලයකට පෙරනිමියයි: එය හරහා කිසිදු වසම් පාලකයක් පිළිතුරු දුන්නේ නැත, කිසිදු ද්වාර පැතිකඩක් නොගැලපුනි. අතුරුමුහුණතේ නම මෙහි වැදගත් නොවේ, එබැවින් ඇඩැප්ටරය "VPN" හෝ "Corp" ලෙස හැඳින්වීමෙන් කිසිවක් වෙනස් නොවේ. DomainAuthenticated සඳහා වසමට සම්බන්ධිත යන්ත්‍රයක් අවශ්‍ය වේ , එය එම අතුරුමුහුණත හරහා ඇත්ත වශයෙන්ම වසම් පාලකයකට ළඟා විය යුතුය; එක් උපජාලයක් පමණක් ගෙන යන බෙදුණු උමගක් මෙම කොන්දේසිය සපුරාලන්නේ නැත.

ඔබට අවශ්‍ය නීතිය දැනටමත් VPN තටාකයට සීමා වී ඇත්නම් සහ ඔබ දැන් කියවූ වර්ගයට දැනටමත් අදාළ වේ නම්, මෙහි නවත්වන්න: පෙරහන් කිරීම ඔබේ ස්ථරය නොවේ, ඊළඟට බැලිය යුතු ස්ථානය සේවා වින්‍යාසයයි. මෙම පරීක්ෂාවට තත්පර දහයක් ගත වන අතර පැයක නීති සංස්කරණයක් ඉතිරි කරයි. වර්ගවල නම් සහ එක් එක් දෙය ආවරණය කරන දේ Get-NetConnectionProfile යොමුවේ සටහන් වී ඇත.

නීති සංස්කරණය කිරීමට පෙර මෙය මාර්ගගත කිරීම නොව පෙරහන් කිරීම බව තහවුරු කරන්න

Ping දුර්වල පරීක්ෂණයකි. සේවා වරාය ඉවත දමන අතරතුර ICMP ගමන් කළ හැක, සහ සත්කාරකයට LAN සිට පිළිතුරු දිය හැකි නමුත් එම ඉල්ලීමම උමග හරහා ප්‍රතික්ෂේප කළ හැක. සේවාදායකයාට අවශ්‍ය වරාය සේවාදායකයාගෙන් පරීක්ෂා කරන්න:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

වරාය පරීක්ෂණය අසාර්ථක නම් ස්ථර දෙක වෙන් කරන්න. උමග හෝ මාර්ග දෝෂයක් සාමාන්‍යයෙන් ද්වාර ලිපිනයෙන් කිසිදු පිළිතුරක් නොපැමිණීම ලෙස පෙනේ, නමුත් ෆයර්වෝල් ප්‍රතික්ෂේප කිරීම පිළිතුරු දෙන ද්වාරයක් සහ පිළිතුරු නොදෙන සේවා වරායක් පෙන්වයි. RRAS හරහා තටාකය ප්‍රකාශයට පත් කරන Windows සේවාදායකයක එම පරීක්ෂණය සේවාදායකයාගෙන් ධාවනය කර සේවාදායකයේම පැතිකඩ කියවන්න: RAS අතුරුමුහුණත ඇතුළත නීති සේවාදායක පරාසය කිසි විටෙකත් සඳහන් නොකරන වර්ගයක තිබිය හැක, එබැවින් එම යන්ත්‍රය තම LAN එකට සේවය කර උමගේ සෑම සේවාදායකයෙකුම ප්‍රතික්ෂේප කරයි.

ප්‍රතිඵලය තවමත් අපැහැදිලි නම්, අදාළ පැතිකඩයේ ප්‍රතික්ෂේප කිරීම් ලොග් කර ඒවා කියවන්න:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

සේවාදායකයාගේ ලිපිනය සහ වරාය DROP සමඟ සඳහන් කරන සටහන් තීරණාත්මක වේ, කුමන නීතිය අතුරුදන් වී ඇත්ද යන්නද ඒවා පවසයි. කිසිවක් නොමැති ලොගයක්, සේවාදායකයාගේ SYN කිසි විටෙකත් නොපෙනෙන විට, සත්කාරකයට ඉහළින් යොමු කරයි, එබැවින් තවත් ෆයර්වෝල් වස්තුවක් ස්පර්ශ කිරීමට පෙර උමග, NAT නීතිය හෝ තටාක මාර්ගය වෙත ආපසු යන්න.

එක් ඇතුළත පනතක් සේවාදායක තටාකයට සීමා කරන්න

අලුත්වැඩියාව යනු දුර ලිපිනය ලෝකය නොව තටාකය වන එකම ඇතුළත අවසර නීතියයි. උසස් සැසියකින්:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

සේවාව එකම ද්විමය ගොනුවක් නම්, වරාය ලැයිස්තුව වෙනුවට -Program පරාමිතිය සහිත වැඩසටහන්-සීමිත නීතියකට මුල් තැන දෙන්න; මෙය ව්‍යතිරේකය ක්‍රියාවලියට සහ මූල පරාසයට සීමා කරයි.

පැතිකඩ තේරීම යනු එම වැරැද්ද ප්‍රතිවිරුද්ධ දිශාවට සිදුවන තැනයි. -Profile Public ඇඩැප්ටරය පොදු නම් සහ පොදුවම රැඳී සිටී නම් ප්‍රමාණවත්ය. -Profile Any Windows ඇඩැප්ටරය කෙසේ වර්ගීකරණය කළත් සේවාව ක්‍රියා කළ යුතු විට යුක්තිසහගතය, නමුත් දුර පරාසය පවතින තාක් පමණි. කිසි විටෙකත් යුක්තිසහගත නොවන්නේ -RemoteAddress Any පොදු පැතිකඩයේ: එම නීතිය ලැප්ටොප් පරිගණකය සමඟ එය සම්බන්ධ වන සෑම කැෆේ සහ හෝටල් ජාලයකටම ගොස් එම උපජාලය බෙදාගන්නා සැමට වරාය විවෘත කරයි.

තටාකය නීතියට යාබදව සටහන් කරන්න. -RemoteAddress 10.8.0.0/24 VPN තටාකය නැවත අංකනය වන දිනයේ නිශ්ශබ්දව ගැලපීම නවත්වයි, අසාර්ථකත්වය මුල් දෝෂය මෙන්ම පෙනේ, එබැවින් එය තවත් සවසක් ගනී. නීති සේවාව සහ මූල පරාසය අනුව නම් කරන්න, ඒවා -Group සමඟ තබා ගන්න, තටාක අර්ථ දැක්වීම වෙනස් වන සෑම විටම නැවත කියවන්න. එක් තිරයකින් විග්‍රහ කළ හැකි නීති ලැයිස්තුව කිසිවෙකුට සොයාගත නොහැකි නිවැරදි නීතියකට වඩා උසස්ය.

වර්ගයම තීරණය වන විට පමණක් වර්ගය වෙනස් කරන්න

අතුරුමුහුණත පුද්ගලික ලෙස වෙනස් කිරීම ද ක්‍රියා කරයි, එය වැරදි පෙරනිමියයි. පුද්ගලික පැතිකඩයේ බොහෝ ගොඩනඟන ලද අවසර නීති ඇත, ඒවා ගොනු සහ මුද්‍රණ යන්ත්‍ර බෙදාගැනීම, ජාල සොයාගැනීම, දුරස්ථ ඩෙස්ක්ටොප් සහ පාදක රේඛාව අනුව තවත් බොහෝ දේ ආවරණය කරයි, එබැවින් VPN ඇඩැප්ටරය නැවත වර්ගීකරණය කිරීම ඒ සියල්ල උමගේ සෑම සේවාදායකයෙකුටම එකවර සක්‍රීය කරයි. එක් සීමිත නීතියක් එක් සේවාවක් එක් පරාසයකට ලබා දෙයි. විශ්වාස කළ නොහැකි ජාලවලට ද සම්බන්ධ වන ලැප්ටොප් පරිගණකයක මෙම වෙනස මතුපිට පමණක් නොවේ.

වර්ගීකරණය සැබවින්ම වැරදි වන අවස්ථා තිබේ: කාර්යාල උපජාලයක් ගෙන යන සැමවිටම-ක්‍රියාත්මක හෝ අඩවි-අඩවි උමගක් විශ්වාසනීය යටිතල පහසුකම් වේ, එම ඇඩැප්ටරය පුද්ගලික ලෙස සලකුණු කිරීම එක් වරක් ප්‍රතිපත්තියෙන් ගන්නා නීත්‍යානුකූල නිර්මාණ තීරණයකි, සෑම ටිකට් පතකටම නොවේ. කරන විට පැහැදිලිව කරන්න:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

කළමනාකරණය කරන උපාංගයක පළමුව සැකසුම කණ්ඩායම් ප්‍රතිපත්තියක හෝ MDM පාදක රේඛාවක හිමිකමක්දැයි පරීක්ෂා කරන්න. එසේ නම්, දේශීය වෙනස්කම ඊළඟ නැවුම් කිරීමේදී ආපසු හරවනු ලැබේ, සහ gpresult /h එයට හිමි ප්‍රතිපත්තිය නම් කරයි; එහිම නිවැරදි කරන්න, අන්ත ලක්ෂ්‍යයේ නොවේ.

දෙකෙළවරින්ම තහවුරු කර සලකුණක් තබන්න

වෙනස්කමෙන් පසු පරිශීලකයා වාර්තා කළ ප්‍රවාහය සේවාදායකයාගෙන් තහවුරු කරන්න:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

පසුව ඊළඟ සතියේ කැඩෙන දේවල් සම්බන්ධයෙන් ලූපය වසන්න. සත්කාරකය නැවත අරඹා නැවත පරීක්ෂා කරන්න, මන්ද වැරදි පැතිකඩට සීමා වූ නීතිය ඇඩැප්ටරය වෙනත් වර්ගයකට ආපසු එන තාක් ක්‍රියා කරයි. දෙවන සේවාදායකයෙකුගෙන් පරීක්ෂා කරන්න, මන්ද කල් ඉකුත් වූ බදුකරණයක් ඇති එක් සේවාදායකයෙකුට තටාක නොගැලපීම සැඟවිය හැක. එකතු කළ නීති ඉවත් කළ නීති සමඟ ගණන් කරන්න, මන්ද අතිච්ඡාදනය වන ව්‍යතිරේක යනු පේළි දෙකක අලුත්වැඩියාව කිසිවෙකුට සමාලෝචනය කළ නොහැකි පෙරහන් ප්‍රතිපත්තියක් බවට පත්වන මාර්ගයයි.

මෙය අවසන් යැයි කීමට පෙර:

  • නීතියේ නම් කර ඇති පැතිකඩ රථවාහන පැමිණෙන අතුරුමුහුණතේ පැතිකඩයි.
  • දුර පරාසය VPN තටාකයයි, එම තටාකය සේවාදායකය සැබවින්ම ලබා දෙන දෙයට ගැලපේ.
  • ඔබ එකතු කළ කිසිදු නීතියක් -RemoteAddress Any පොදු පැතිකඩයේ භාවිතා නොකරයි.
  • පරීක්ෂණය සමත් වීමට කිසිවක් අක්‍රීය කර නැත, සහ සෑම වර්ග වෙනස්කමක්ම කවුරුන් අනුමත කළාද යන්න සටහන් කරයි.

අදාළ ලිපි