Zakaj vaš adapter VPN ostane v javnem profilu požarnega zidu
Prijava v domeno ne razvrsti omrežja kot domeno, in Zasebno ni nadomestilo. Preberite profil pravila in nato računalnik, ki ga uveljavlja.
Tunel je vzpostavljen, račun je overjen v domeni, Windows pa povezavo še vedno označuje kot javno. Zato pravilo požarnega zidu, napisano za profil domene, ne velja, in skupna mapa ostane nedosegljiva. Običajen poskus popravka je nastavitev adapterja na zasebno, kar spremeni, katera pravila veljajo, ne spremeni pa ničesar pri overjanju. Tako oznaka kot popravek sta pogosto napačno razumljena, njuno ločevanje pa zahteva tri ukaze.
Račun, ki se je povezal, ni kategorija omrežja
Med povezavo VPN se sprejmeta dve različni odločitvi in ju je enostavno zamenjati. Prehod odloči, ali se račun sme povezati. Windows odloči, kako razvrstiti nastalo omrežje, in ta razvrstitev določa, katera pravila požarnega zidu veljajo za vmesnik.
Uspešno preverjanje domene na prehodu je dokaz o računu. Ni dokaz, da je končna točka overila omrežje pri krmilniku domene, in prav to predstavlja kategorija domene.
Zato je računalnik lahko pridružen domeni, se poveže z računom domene in še vedno prikazuje javno. Razvrstitev je lokalna ugotovitev o omrežju, ne izjava o poverilnicah, ki so odprle tunel. Račun je lahko popolnoma veljaven, medtem ko oznaka ostane tam, kjer se je začela.
Tri kategorije, ene od njih ne morete nastaviti
Windows ponuja tri kategorije in le dve od njih lahko dodeli skrbnik. Tretjo določi operacijski sistem, potem ko uspešno overi omrežje pri krmilniku domene.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedTretji ukaz ne uspe in to je dokumentirano vedenje, ne težava z dovoljenji. Referenca samega ukaza navaja, da kategorije domene ni mogoče dodeliti na ta način, ker jo Windows izpelje iz preverjanja domene. Vidna napaka je koristna potrditev, da je kategorija posledica in ne nastavitev.
Preberite prvi ukaz na končni točki, katere promet je blokiran. Razvrstitev lastnega vmesnika prehoda vam ne pove ničesar o tem, kako je vsaka delovna postaja razvrstila svoj tunel.
Pravila sledijo profilu, za katerega so bila napisana
Ko kategorijo poznate, se manjkajoči dostop običajno pojasni sam. Vsako pravilo požarnega zidu Windows ima obseg profila, in pravilo, omejeno na domeno, ne velja, kadar je vmesnik javen. Trije ukazi to spremenijo v odgovor in ne v teorijo, tretji pa ujame primer, ko profil nikoli ni bil težava:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionDrugi ukaz je tisti, ki nejasno poročilo spremeni v popravek. Če je pravilo omejeno na obseg oddaljenih naslovov, ki ne vključuje bazena VPN, tudi sprememba profila ne bo pomagala.
Preverite tudi privzeto dejanje za dohodni promet. Na računalniku, kjer je dohodni promet privzeto blokiran, manjkajoče pravilo za dovoljenje ustvari tišino namesto zavrnitve. S strani odjemalca je to videti enako kot napaka usmerjanja, zato se toliko teh zahtev začne z napačno predpostavko.
Ugotovite, kateri računalnik uveljavlja pravilo
Preden spremenite kategorijo, ugotovite, kje pride do blokade. Strežnik, ki gosti skupno mapo, ima lahko svoj požarni zid, njegova pravila pa veljajo za promet, ki prihaja iz bazena VPN, ne glede na to, kako je odjemalec označil svoj adapter. Zavrnitev tam je nevidna za vsak lokalni ukaz, ki ga zaženete, odjemalska stran pa poroča le, da vir ni na voljo. Preizkusite lastna pravila cilja, preden se dotaknete razvrstitve odjemalca.
Preizkusite z odjemalca na določena vrata in nato primerjajte s preizkusom z drugega gostitelja v istem VPN. Če oba spodletita, je težava na cilju ali na poti. Če spodleti le eden, je razlika lokalna za ta računalnik in kategorija profila postane verjeten vzrok.
Upoštevajte tudi smer. Pravilo, ki dovoljuje dohodni SMB, ne naredi ničesar za odjemalca, katerega lastno odhodno pravilo blokira isti promet. V oknu Raziskovalca datotek obeh napak ni mogoče razlikovati, zato preizkusite vsako smer posebej, preden karkoli uredite.
Kaj storiti namesto preimenovanja vsega
Spreminjanje neprepoznanega omrežja v zasebno, da bi zadostili širokemu pravilu, je resnična sprememba z resničnimi posledicami. Zasebni profil običajno dovoljuje več odkrivanja in več dohodnega prometa kot javni.
Če je cilj, da določena storitev doseže odjemalce VPN, omejite pravilo po oddaljenem naslovu in ne po profilu. To natančno izrazi namen, deluje ne glede na razvrstitev in ni odvisno od tega, ali Windows pravilno ugane navidezni adapter. Preživi tudi posodobitev odjemalca, ki vmesnik ponovno razvrsti. Zapišite bazen v pravilo in naslednja oseba bo lahko prebrala namen, ne da bi vprašala.
Če je kategorija domene res pričakovana in se nikoli ne pojavi, je to ločena preiskava. Preverite, ali je računalnik pridružen domeni, ali lahko skozi tunel doseže krmilnik domene in ali je varni kanal zdrav. Ti trije ukazi odgovorijo na to brez ene same spremembe registra:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comTi trije odgovorijo, ali bi končna točka sploh lahko overila omrežje. Če ne more doseči krmilnika, kategorija domene ne bo nikoli dodeljena, ne glede na to, kolikokrat se adapter ponastavi. Pravilo požarnega zidu, za katerim ste tekli, ni bilo nikoli resnična težava, oznaka pa je bila simptom pretrgane poti in ne vzrok.