Klientët VPN bllokohen nga profili Publik i firewall-it të Windows

Tuneli juaj është ngritur, porta e rrjetit përgjigjet në ping dhe ndarja e skedarëve përsëri skadon. Ky kombinim rrallë është problem i rrugëzimit: Windows e ka vendosur nënrrjetin e përshtatësit VPN në profilin Publik, dhe çdo rregull lejimi i shkruar për Privat ose Domen nuk është zbatuar kurrë. Këtë e kam hasur në laptopë që arrijnë zyrën pa problem dhe në serverë RRAS që shërbejnë të gjithë klientët e tjerë, dhe rregullimi është i shkurtër sapo të emërtoni profilin në lojë. Ja rendi me të cilin punoj, bashkë me kontrollin që ju thotë kur të ndaloni përpara hapit tjetër.

Zbuloni në cilin profil arrin vërtet trafiku

Firewall-i i Windows nuk ka një modalitet të vetëm global. Çdo ndërfaqe e lidhur mban një kategori, dhe paketat hyrëse filtrohen sipas kategorisë së ndërfaqes nga e cila vijnë, prandaj profili i përshtatësit VPN vendos se çfarë mund të arrijë një klient në tunel, jo përshtatësi Wi-Fi ose Ethernet pranë tij. Lexoni të dyja faktet përpara se të ndryshoni çdo gjë:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

Në një instalim standard të OpenVPN ose WireGuard, përshtatësi VPN shfaqet si rrjet i paidentifikuar dhe përfundon në Publik, që është vlera e paracaktuar për çdo rrjet që Windows nuk mund ta klasifikojë: asnjë kontrollues domeni nuk u përgjigj përmes tij dhe asnjë profil portë nuk përputhej. Emri i ndërfaqes nuk ka rëndësi këtu, prandaj ta quash përshtatësin "VPN" ose "Corp" nuk ndryshon asgjë. DomainAuthenticated kërkon një makinë të bashkuar me domenin , e cila vërtet mund të arrijë një kontrollues domeni përmes asaj ndërfaqeje; një tunel i ndarë që mbart vetëm një nënrrjet nuk do ta plotësojë atë.

Nëse rregulli që ju nevojitet është tashmë i kufizuar në grupin VPN dhe tashmë zbatohet për kategorinë që sapo lexuat, ndaloni këtu: filtrimi nuk është shtresa juaj, dhe vendi tjetër për të shikuar është konfigurimi i shërbimit. Ai kontroll merr dhjetë sekonda dhe kursen një orë redaktimi rregullash. Emrat e kategorive dhe çfarë mbulon secila janë dokumentuar në referencën e Get-NetConnectionProfile.

Konfirmoni filtrimin, jo rrugëzimin, përpara se të redaktoni rregulla

Ping është një test i dobët. ICMP mund të kalojë ndërsa porta e shërbimit hidhet poshtë, dhe një host mund të përgjigjet nga LAN-i duke refuzuar të njëjtën kërkesë përmes tunelit. Testoni portën që i nevojitet klientit, nga klienti:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Nëse testi i portës dështon, ndani dy shtresat. Një defekt tuneli ose rruge zakonisht shfaqet si asnjë përgjigje fare nga adresa e portës, ndërsa hedhja poshtë nga firewall-i tregon një portë që përgjigjet dhe një portë shërbimi që nuk përgjigjet. Në një server Windows që publikon grupin përmes RRAS, ekzekutoni të njëjtin test nga një klient dhe lexoni profilin e vetë serverit: ndërfaqja RAS mund të qëndrojë në një kategori, rregullat hyrëse të së cilës nuk përmendin kurrë intervalin e klientëve, dhe për këtë arsye makina shërben LAN-in e saj dhe refuzon çdo klient në tunel.

Kur rezultati është ende i paqartë, regjistroni hedhjet poshtë për profilin në lojë dhe lexoni ato:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Regjistrimet që përmendin adresën dhe portën e klientit me DROP janë përfundimtare, dhe gjithashtu ju thonë cili rregull mungonte. Një regjistër pa asgjë në të, ndërsa SYN-i i klientit nuk shfaqet kurrë, tregon përpara hostit, prandaj kthehuni te tuneli, rregulli NAT ose rruga e grupit përpara se të prekni një objekt tjetër të firewall-it.

Kufizoni një rregull hyrës në grupin e klientëve

Rregullimi është një rregull i vetëm lejimi hyrës, adresa e largët e të cilit është grupi, jo e gjithë bota. Nga një sesion i ngritur:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Kur shërbimi është një skedar binar i vetëm, preferoni një rregull të kufizuar në program me -Program në vend të një liste portash; kjo e kufizon përjashtimin si në proces ashtu edhe në intervalin e burimit.

Zgjedhja e profilit është vendi ku i njëjti gabim bëhet në drejtimin e kundërt. -Profile Public mjafton kur përshtatësi është Publik dhe mbetet Publik. -Profile Any është i mbrojtshëm kur shërbimi duhet të funksionojë pavarësisht se si Windows e klasifikon përshtatësin, por vetëm për sa kohë mbetet shtrirja e largët. Ajo që nuk është kurrë e mbrojtshme është -RemoteAddress Any në profilin Publik: ai rregull ndjek laptopin në çdo rrjet kafeneje dhe hoteli ku futet dhe hap portën për këdo që ndan atë nënrrjet.

Shënoni grupin pranë rregullit. -RemoteAddress 10.8.0.0/24 ndalon në heshtje së përputhuri ditën kur grupi VPN rinumërohet, dhe defekti duket saktësisht si gabimi origjinal, prandaj kushton një pasdite të dytë. Emërtoni rregullat sipas shërbimit dhe intervalit të burimit, mbani ato së bashku me -Group, dhe rilexoni ato sa herë që ndryshon përkufizimi i grupit. Një inventar rregullash që mund ta auditoni në një ekran të vetëm mund të korrektën që askush nuk e gjen.

Ndryshoni kategorinë vetëm kur kategoria është vendimi

Kalimi i ndërfaqes në Privat funksionon gjithashtu, dhe është parazgjedhja e gabuar. Profili Privat mbart një listë të gjatë rregullash lejimi të integruara, që mbulojnë ndarjen e skedarëve dhe printerëve, zbulimin e rrjetit, desktop-in në distancë dhe më shumë sipas bazës, prandaj riklasifikimi i përshtatësit VPN i aktivizon të gjitha ato njëherësh për çdo klient në tunel. Një rregull i kufizuar jep një shërbim për një interval. Në një laptop që bashkohet edhe me rrjete jo të besueshme, ai ndryshim nuk është kozmetik.

Ka raste kur klasifikimi është vërtet i gabuar: një tunel gjithmonë aktiv ose ndërmjet lokacioneve që mbart një nënrrjet zyre është infrastrukturë e besuar, dhe shënimi i atij përshtatësi si Privat është një zgjedhje legitimie dizajni, e marrë një herë me politikë dhe jo për çdo kërkesë. Kur e bëni, bëjeni në mënyrë eksplicite:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Në një pajisje të menaxhuar, kontrolloni fillimisht nëse një Politikë Grupi ose një bazë MDM e zotëron cilësimin. Nëse e zotëron, ndryshimi lokal anulohet në rifreskimin tjetër, dhe gpresult /h do të emërtojë politikën që e zotëron; rregullojeni aty, jo në pikën fundore.

Verifikoni nga të dy skajet dhe lini gjurmë

Verifikoni rrjedhën që raportoi përdoruesi, nga klienti, pas ndryshimit:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Më pas mbyllni ciklin te gjërat që do të prisheshin javën tjetër. Rinisni hostin dhe testoni përsëri, sepse një rregull i kufizuar në profilin e gabuar vazhdon të funksionojë derisa përshtatësi të kthehet në një kategori tjetër. Testoni nga një klient i dytë, pasi një klient me qira të vjetruar mund të fshehë një mospërputhje të grupit. Numëroni rregullat e shtuara kundrejt atyre të hequra, sepse përjashtimet që mbivendosen janë mënyra se si një rregullim prej dy rreshtash bëhet një politikë filtrimi që askush nuk mund ta rishikojë.

Përpara se ta quani të përfunduar:

• Profili i përmendur në rregull është profili i ndërfaqes nga e cila vjen trafiku.
• Shtrirja e largët është grupi VPN, dhe ai grup përputhet me atë që serveri jep në të vërtetë.
• Asnjë rregull që keni shtuar nuk përdor -RemoteAddress Any në profilin Publik.
• Asgjë nuk u çaktivizua për ta bërë testin të kalojë, dhe çdo ndryshim kategorie regjistron kush e miratoi atë.