Pse përshtatësi juaj VPN mbetet në profilin publik të firewall-it

Tuneli është aktiv, llogaria është vërtetuar ndaj domenit, dhe Windows vazhdon ta etiketojë lidhjen si publike. Prandaj një rregull i firewall-it i shkruar për profilin e domenit nuk zbatohet, dhe ndarja e skedarëve mbetet e paarritshme. Përpjekja e zakonshme për rregullim është vendosja e përshtatësit në privat, e cila ndryshon cilat rregulla zbatohen pa ndryshuar asgjë në vërtetim. Si etiketa ashtu edhe rregullimi keqkuptohen gjerësisht, dhe ndarja e tyre kërkon tre komanda.

Llogaria që u lidh nuk është kategoria e rrjetit

Gjatë një lidhjeje VPN merren dy vendime të ndryshme dhe është e lehtë t’i ngatërrosh. Porta vendos nëse llogaria mund të lidhet. Windows vendos se si të klasifikohet rrjeta që rezulton, dhe ajo klasifikim përcakton cilat rregulla të firewall-it zbatohen për ndërfaqen.

Një vërtetim i suksesshëm i domenit në portë është provë për llogarinë. Nuk është provë se pika fundore e ka vërtetuar rrjetin ndaj një kontrolluesi domeni, dhe pikërisht këtë përfaqëson kategoria e domenit.

Kjo është arsyeja pse një makinë mund të jetë e bashkuar me një domen, të lidhet me një llogari domeni dhe prapë të shfaqet publike. Klasifikimi është një përcaktim lokal për rrjetin, jo një deklaratë për kredencialet që hapën tunelin. Llogaria mund të jetë plotësisht e vlefshme ndërsa etiketa mbetet aty ku filloi.

Tre kategori, njëra prej të cilave nuk mund ta caktoni

Windows ofron tre kategori dhe vetëm dy prej tyre mund të caktohen nga një administrator. Të tretën e vendos sistemi operativ pasi vërteton me sukses rrjetin ndaj një kontrolluesi domeni.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Komanda e tretë dështon, dhe ky është sjellja e dokumentuar dhe jo një problem lejesh. Referenca e vetë komandës thotë se kategoria e domenit nuk mund të caktohet në këtë mënyrë, sepse Windows e nxjerr atë nga vërtetimi i domenit. Të shohësh gabimin është një konfirmim i dobishëm se kategoria është pasojë dhe jo konfigurim.

Lexoni komandën e parë në pikën fundore, trafiku i së cilës është bllokuar. Klasifikimi i ndërfaqes së vetë portës nuk ju thotë asgjë për mënyrën se si çdo stacion pune që lidhet i klasifikoi tunelet e vet.

Rregullat ndjekin profilin për të cilin janë shkruar

Pasi ta dini kategorinë, mungesa e aksesit zakonisht shpjegohet vetë. Çdo rregull i Windows Firewall ka një shtrirje profili, dhe një rregull i kufizuar në domen nuk zbatohet kur ndërfaqja është publike. Tre komanda e kthejnë këtë në përgjigje dhe jo në teori, dhe e treta kap rastin kur profili nuk ishte kurrë problemi:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Komanda e dytë është ajo që e kthen një raport të paqartë në rregullim. Nëse rregulli është i kufizuar në një interval adresash të largëta që nuk përfshin grupin VPN, edhe ndryshimi i profilit nuk do të ndihmojë.

Kontrolloni edhe veprimin e parazgjedhur për trafikun hyrës. Në një makinë ku trafiku hyrës bllokohet si parazgjedhje, një rregull lejimi që mungon prodhon heshtje në vend të refuzimit. Nga ana e klientit kjo duket identike me një dështim rrugëtimi, dhe për këtë arsye shumë nga këto tiketa fillojnë me supozimin e gabuar.

Përcaktoni cila makinë e zbaton rregullin

Para se të ndryshoni një kategori, përcaktoni ku po ndodh bllokimi. Serveri që strehon ndarjen mund të ketë firewall-in e vet, dhe rregullat e tij zbatohen për trafikun që vjen nga grupi VPN, pavarësisht se si klienti e etiketoi përshtatësin e vet. Një refuzim atje është i padukshëm për çdo komandë lokale që ekzekutoni, dhe ana e klientit raporton vetëm se burimi nuk është i disponueshëm. Provoni rregullat e vetë destinacionit përpara se të prekni klasifikimin e klientit.

Provoni nga klienti drejt portës specifike, pastaj krahasoni me një provë nga një host tjetër në të njëjtin VPN. Nëse të dyja dështojnë, problemi është në destinacion ose në rrugë. Nëse dështon vetëm njëra, ndryshimi është lokal për atë makinë, dhe kategoria e profilit bëhet një shkak i mundshëm.

Keni parasysh edhe drejtimin. Një rregull që lejon SMB hyrës nuk bën asgjë për një klient, rregulli i daljes së të cilit bllokon të njëjtin trafik. Nga një dritare e shfletuesit të skedarëve dy dështimet janë të pandashme, prandaj provoni çdo drejtim veçmas përpara se të redaktoni çdo gjë.

Çfarë të bëni në vend që të rietiketoni gjithçka

Ta bësh një rrjet të paidentifikuar Privat për të plotësuar një rregull të gjerë është një ndryshim i vërtetë me pasoja të vërteta. Profili privat zakonisht lejon më shumë zbulim dhe më shumë trafik hyrës sesa ai publik.

Nëse qëllimi është që një shërbim specifik të arrijë klientët VPN, kufizoni rregullin sipas adresës së largët dhe jo sipas profilit. Kjo e shpreh qëllimin me saktësi, funksionon pavarësisht nga klasifikimi dhe nuk varet nga fakti nëse Windows e gjen saktë një përshtatës virtual. I mbijeton edhe një përditësimi të klientit që riklasifikon ndërfaqen. Shkruani grupin në rregull dhe personi tjetër mund ta lexojë qëllimin pa pyetur.

Nëse kategoria e domenit pritet vërtet dhe nuk shfaqet kurrë, ky është një hetim i veçantë. Kontrolloni nëse makina është e bashkuar me domenin, nëse mund të arrijë një kontrollues domeni përmes tunelit dhe nëse kanali i sigurt është i shëndoshë. Këto tre komanda përgjigjen për këtë pa asnjë ndryshim të regjistrit:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Këto tre përgjigjen nëse pika fundore mund të vërtetonte fare rrjetin. Nëse nuk arrin dot një kontrollues, kategoria e domenit nuk do të caktohet kurrë, sado herë të ristartohet përshtatësi. Rregulli i firewall-it që po ndiqnit nuk ishte kurrë problemi i vërtetë, dhe etiketa ishte simptom i një rruge të thyer, jo shkak.