Macaamiisha VPN oo ay xannibaan Profile-ka Dadweynaha ee Dab-demiska Windows

Tunnel-kaagu wuu shaqaynayaa, albaabku wuxuu ka jawaabayaa ping, iyo wadaagga faylku weli wuu dhacaa waqti-dhaaf. Isku-dhafkaas marar badan maaha dhibaato dariiqa: Windows wuxuu subnet-ka adapter-ka VPN geliyay profile-ka Dadweynaha, iyo sharci kasta oo ogolaansho ah oo loo qoray Gaar ama Domain marnaba lama fulin. Waxaan la kulmay tan kombuyuutarrada gacanta ee si fiican u gaadha xafiiska iyo sidoo kale serverrada RRAS ee u adeega dhammaan macaamiisha kale, iyo hagaajintu way gaaban tahay markaad sheegto profile-ka ku jira. Waa kan nidaamka aan ku shaqeeyo, oo ay la socoto hubinta kuu sheegta goorta aad joojiso ka hor tallaabada xigta.

Ogow profile-ka uu taraafikadu dhab ahaan ku yimaado

Dab-demiska Windows ma laha hal hab oo caalami ah. Interface kasta oo ku xiran wuxuu qaadaa qayb, iyo baakadaha soo galaya waxaa lagu sifeeyaa qaybta interface-ka ay ku soo galaan, sidaas darteed profile-ka adapter-ka VPN ayaa go'aamiya waxa macmiil ku jira tunnel-ka uu gaari karo, ma aha adapter-ka Wi-Fi ama Ethernet ee diintiisa. Akhri labada xaqiiqo ka hor intaadan wax beddelin:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

Rakibaadda caadiga ah ee OpenVPN ama WireGuard, adapter-ka VPN wuxuu u muuqdaa shabakad aan la aqoonsan oo wuxuu ku dhacaa Dadweyne, taas oo tahay waxa caadiga ah ee shabakad kasta oo Windows aanu kala saari karin: ma jiro kontoroolaha domain oo ka jawaabay isaga iyo ma jiro profile albaab oo iswaafaqay. Magaca interface-ka halkan muhiim maaha, sidaas darteed ugu yeerista adapter-ka "VPN" ama "Corp" waxba ma beddelo. DomainAuthenticated wuxuu u baahan yahay mishiin ku biiran domain-ka , kaas oo dhab ahaan gaari kara kontoroolaha domain-ka interface-kaas; tunnel qaybsan oo qaada hal subnet ma buuxin doono shuruuddaas.

Haddii sharciga aad u baahan tahay horey loogu xaddiday barkada VPN oo horey u khuseeya qaybta aad hadda akhriday, halkan joog: sifeeyntu maaha lakabkaaga, iyo meesha xigta ee la eego waa qaabeynta adeegga. Hubintaas waxay qaadataa toban ilbiriqsi waxayna badbaadisaa saacad tafatir sharci. Magacyada qaybaha iyo waxa mid kastaa ka kooban yahay waxaa lagu qoray tixraaca Get-NetConnectionProfile.

Xaqiiji sifeeynta, ma aha dariiqa, ka hor intaadan tafatirin sharciyada

Ping waa tijaabo daciif ah. ICMP way gudbi kartaa iyadoo dekedda adeegga la tuurayo, iyo martigeliyaha wuxuu ka jawaabi karaa LAN isagoo diidaya isla codsiga tunnel-ka. Tijaabi dekedda uu macmiilku u baahan yahay, macmiilka:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Haddii tijaabada dekedda guuldareysto, kala sooc labada lakab. Cillad tunnel ama dariiq caadi ahaan waxay u muuqataa sida wax jawaab ah oo ka iman waaya cinwaanka albaabka, halka tuurista dab-demiska ay muujiso albaab jawaabaya iyo deked adeeg oo aan jawaabayn. Server Windows oo daabaca barkada iyada oo loo marayo RRAS, ku socodsii isla tijaabada macmiil oo akhri profile-ka server-ka laftiisa: interface-ka RAS wuxuu ku fadhiisan karaa qayb ay sharciyadeeda gelitaanku marnaba xusin xadka macaamiisha, sababtaas darteed mishiinku wuxuu u adeegaa LAN-kiisa oo wuu diidayaa macmiil kasta oo tunnel-ka ku jira.

Marka natiijadu weli madmadow tahay, diiwaangeli tuurista profile-ka ku jira oo akhri:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Gelitaannada sheegaya cinwaanka macmiilka iyo dekedda oo leh DROP waa kuwo go'aamaya, waxayna sidoo kale kuu sheegaan sharciga maqnaa. Diiwaan aan waxba ku lahayn iyadoo SYN-ka macmiilku marnaba soo muuqan, wuxuu tilmaamayaa ka sarreeya martigeliyaha, sidaas darteed ku noqo tunnel-ka, sharciga NAT, ama wadada barkada ka hor intaadan taaban shay kale oo dab-demiska.

Ku xaddid hal sharci gelitaan ah barkada macaamiisha

Hagaajintu waa hal sharci gelitaan oo ogolaansho ah oo cinwaanka fog yahay barkada, ma aha adduunka oo dhan. Seshan sare:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Marka adeeggu yahay hal fayl binary ah, dooro sharci ku xaddidan barnaamijka leh -Program halkii liis dekedo; taas waxay ku xaddidaa ka-takhaluska process-ka iyo sidoo kale xadka isha.

Doorashada profile-ka waa halka khaladkaas la sameeyo dhanka kale. -Profile Public ku filan marka adapter-ku Dadweyne yahay oo uu Dadweyne sii ahaado. -Profile Any waa la difaaci karaa marka adeeggu waa inuu shaqeeyaa si kastaba Windows u kala saaro adapter-ka, laakiin kaliya inta xadka fog uu sii jiro. Waxa aan marnaba la difaaci karin waa -RemoteAddress Any profile-ka Dadweynaha: sharcigaas wuxuu raacaa kombuyuutarka gacanta shabakad kasta oo kafe iyo huteel oo uu galo wuxuuna u furaa dekedda qof kasta oo wadaaga subnet-kaas.

Qor barkada sharciga agtiisa. -RemoteAddress 10.8.0.0/24 si aamusan ayuu u joojiyaa iswaafajinta maalinta barkada VPN dib loo nambareeyo, cilladuna waxay u egtahay si sax ah khaladkii asalka ahaa, sidaas darteed waxay ku qaadataa galab labaad. U magacow sharciyada adeegga iyo xadka isha, hayso iyaga wadajir ah -Group, oo dib u akhri iyaga mar kasta oo qeexidda barkadu isbeddesho. Liiska sharciyada aad ku baari karto hal shaashad ayaa ka fiican sharci sax ah oo aan cidna heli karin.

Beddel qaybta kaliya marka qaybtu tahay go'aanka

U beddelidda interface-ka Gaar ayaa sidoo kale shaqeeya, waana waxa caadiga ah ee khaldan. Profile-ka Gaar wuxuu qaadaa liis dheer oo sharciyo ogolaansho oo dhex-dhisan, oo ka hadlaya wadaagga faylalka iyo daabacayaasha, ogaanshaha shabakadda, desktop fog iyo wax badan oo ku xiran aasaaska, sidaas darteed dib-u-kala-saarista adapter-ka VPN waxay daaraa dhammaantood hal mar macmiil kasta oo tunnel-ka ku jira. Hal sharci xaddidan wuxuu siinayaa hal adeeg hal xad. Kombuyuutar gacanta oo sidoo kale galo shabakado aan la aaminin, farqigaas maaha mid qurux ah.

Waxaa jira xaalado ay kala-saaristu runtii khaldan tahay: tunnel had iyo jeer shidan ama goob-ilaa-goob oo qaada subnet xafiis waa kaabayaal la aamino, iyo calaamadaynta adapter-kaas sida Gaar waa go'aan naqshadeed sharci ah, oo hal mar lagu qaato siyaasad ahaan ee ma aha tikit kasta. Markaad samaysid, si cad u samee:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Qalab la maareeyo, marka hore hubi in Siyaasadda Kooxda ama aasaaska MDM uu leeyahay dejinta. Haddii uu leeyahay, isbeddelka gudaha waa la beddeli doonaa cusboonaysiinta xigta, iyo gpresult /h wuxuu magacaabi doonaa siyaasadda leh; halkaas ka hagaaji, ma aha barta ugu dambaysa.

Xaqiiji labada dhinac oo ka tag raad

Xaqiiji socodka uu isticmaaluhu soo sheegay, macmiilka, isbeddelka ka dib:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Ka dib xidh wareegga waxyaabaha toddobaadka danbe jabi doona. Dib u bilow martigeliyaha oo dib u tijaabi, sababtoo ah sharciga ku xaddidan profile khaldan wuxuu sii shaqaynayaa ilaa adapter-ku ku soo noqdo qayb kale. Tijaabi macmiil labaad, maadaama hal macmiil oo haysta heshiis duugoobay uu qarin karo ismaandhaafka barkada. Tir sharciyada aad ku dartay kuwa aad ka saartay, sababtoo ah ka-takhaluska isdulsaaran waa habka ay hagaajinta laba sadar u noqoto siyaasad sifeyn oo aan cidna dib u eegi karin.

Ka hor intaadan ugu yeerin dhammaad:

• Profile-ka lagu sheegay sharciga waa profile-ka interface-ka uu taraafikadu ku yimaado.
• Xadka fog waa barkada VPN, barkadaasina waxay u dhigantaa waxa server-ku dhab ahaan bixiyo.
• Ma jiro sharci aad ku dartay oo isticmaalaya -RemoteAddress Any profile-ka Dadweynaha.
• Waxba lama joojin si tijaabadu u gudubto, iyo isbeddel kasta oo qayb ah wuxuu diiwaangeliyaa cidda ansixisay.