Prečo váš adaptér VPN zostáva vo verejnom profile brány firewall

Tunel je aktívny, konto sa overilo v doméne a Windows napriek tomu označuje pripojenie ako verejné. Preto sa pravidlo brány firewall napísané pre doménový profil neuplatní a zdieľaná zložka zostáva nedostupná. Zvyčajný pokus o opravu spočíva v nastavení adaptéra na súkromný, čo zmení, ktoré pravidlá platia, ale na overovaní nič nemení. Označenie aj oprava sú široko nepochopené a ich oddelenie si vyžaduje tri príkazy.

Konto, ktoré sa pripojilo, nie je kategóriou siete

Počas pripojenia VPN sa prijímajú dve rôzne rozhodnutia a ľahko sa zamieňajú. Brána rozhoduje, či sa konto smie pripojiť. Windows rozhoduje, ako výslednú sieť zaradiť, a toto zaradenie určuje, ktoré pravidlá brány firewall sa na rozhranie vzťahujú.

Úspešné overenie v doméne na bráne je dôkazom o konte. Nie je dôkazom toho, že koncový bod overil sieť voči radiču domény, a presne to doménová kategória predstavuje.

Preto môže byť počítač pripojený k doméne, pripájať sa doménovým kontom a napriek tomu zobrazovať verejné. Zaradenie je miestne určenie o sieti, nie tvrdenie o prihlasovacích údajoch, ktoré otvorili tunel. Konto môže byť úplne platné, kým označenie zostáva tam, kde začalo.

Tri kategórie, z ktorých jednu nemôžete nastaviť

Windows ponúka tri kategórie a len dve z nich môže priradiť správca. Tretiu určuje operačný systém po tom, čo sieť úspešne overí voči radiču domény.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Tretí príkaz zlyhá a ide o dokumentované správanie, nie o problém s právami. Referencia samotného príkazu uvádza, že doménovú kategóriu takto priradiť nemožno, pretože ju Windows odvodzuje z overenia v doméne. Vidieť chybu je užitočné potvrdenie, že kategória je dôsledok, nie nastavenie.

Prečítajte prvý príkaz na koncovom bode, ktorého prevádzka je blokovaná. Zaradenie vlastného rozhrania brány vám nič nepovie o tom, ako každá pripájajúca sa stanica zaradila svoj tunel.

Pravidlá sa držia profilu, pre ktorý boli napísané

Keď kategóriu poznáte, chýbajúci prístup sa zvyčajne vysvetlí sám. Každé pravidlo Windows Firewall nesie rozsah profilu a pravidlo obmedzené na doménu neplatí, keď je rozhranie verejné. Tri príkazy z toho urobia odpoveď a nie teóriu, a tretí zachytí prípad, keď profil nikdy nebol problémom:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Druhý príkaz je ten, ktorý mení nejasnú správu na opravu. Ak je pravidlo obmedzené na rozsah vzdialených adries, ktorý nezahŕňa fond VPN, nepomôže ani zmena profilu.

Skontrolujte aj predvolenú akciu pre prichádzajúcu prevádzku. Na počítači, kde je prichádzajúca prevádzka predvolene blokovaná, chýbajúce povoľovacie pravidlo vytvára ticho namiesto odmietnutia. Z pohľadu klienta to vyzerá rovnako ako zlyhanie smerovania, a preto toľko týchto požiadaviek začína nesprávnym predpokladom.

Zistite, ktorý počítač pravidlo vynucuje

Pred zmenou kategórie zistite, kde k blokovaniu dochádza. Server, ktorý hostuje zdieľanie, môže mať vlastnú bránu firewall a jej pravidlá platia pre prevádzku prichádzajúcu z fondu VPN bez ohľadu na to, ako klient označil svoj adaptér. Odmietnutie tam je neviditeľné pre každý miestny príkaz, ktorý spustíte, a klientska strana hlási len to, že prostriedok nie je dostupný. Otestujte vlastné pravidlá cieľa, skôr než sa dotknete zaradenia klienta.

Otestujte cestu z klienta na konkrétny port a potom ju porovnajte s testom z iného hostiteľa v tej istej VPN. Ak zlyhajú oba, problém je v cieli alebo na ceste. Ak zlyhá len jeden, rozdiel je miestny pre daný počítač a kategória profilu sa stáva pravdepodobnou príčinou.

Majte na mysli aj smer. Pravidlo, ktoré povoľuje prichádzajúci SMB, nič neurobí pre klienta, ktorého vlastné odchádzajúce pravidlo blokuje tú istú prevádzku. Z okna prieskumníka súborov sú obe zlyhania nerozoznateľné, preto testujte každý smer zvlášť, kým čokoľvek upravíte.

Čo robiť namiesto premenovania všetkého

Prevedenie neidentifikovanej siete na súkromnú, aby vyhovela širokému pravidlu, je skutočná zmena so skutočnými dôsledkami. Súkromný profil zvyčajne povoľuje viac zisťovania a viac prichádzajúcej prevádzky ako verejný.

Ak je cieľom, aby sa konkrétna služba dostala ku klientom VPN, obmedzte pravidlo vzdialenou adresou, nie profilom. Vyjadruje to zámer presne, funguje bez ohľadu na zaradenie a nezávisí od toho, či Windows správne odhadne virtuálny adaptér. Prežije aj aktualizáciu klienta, ktorá rozhranie preklasifikuje. Zapíšte fond do pravidla a ďalší človek prečíta zámer bez toho, aby sa musel pýtať.

Ak je doménová kategória skutočne očakávaná a nikdy sa neobjaví, ide o samostatné vyšetrovanie. Skontrolujte, či je počítač pripojený k doméne, či sa cez tunel dostane k radiču domény a či je zabezpečený kanál v poriadku. Tieto tri príkazy to zodpovedia bez jedinej úpravy registra:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Tieto tri odpovedajú na to, či koncový bod mohol sieť vôbec overiť. Ak sa nedostane k radiču, doménová kategória nebude nikdy priradená, nech sa adaptér resetuje akokoľvek často. Pravidlo brány firewall, za ktorým ste pátrali, nikdy nebolo skutočným problémom a označenie bolo príznakom rozbitej cesty, nie príčinou.