Зашто ваш VPN адаптер остаје на јавном профилу заштитног зида
Пријава на домен не класификује мрежу као домен, а Приватно није замена. Прочитајте профил правила, а затим машину која га спроводи.
Тунел је активан, налог је потврђен на домену, а Windows и даље означава везу као јавну. Зато се правило заштитног зида написано за профил домена не примењује, а дељење датотека остаје недоступно. Уобичајени покушај исправке је постављање адаптера на приватно, што мења која правила важе, али не мења ништа у провери идентитета. И ознака и исправка су широко погрешно схваћене, а њихово раздвајање захтева три команде.
Налог који се повезао није категорија мреже
Током VPN везе доносе се две различите одлуке и лако их је помешати. Гејтвеј одлучује да ли налог сме да се повеже. Windows одлучује како да класификује насталу мрежу, а та класификација одређује која правила заштитног зида важе за интерфејс.
Успешна провера домена на гејтвеју доказ је о налогу. То није доказ да је крајња тачка потврдила мрежу код контролера домена, а управо то представља категорија домена.
Зато машина може бити придружена домену, повезивати се налогом домена и ипак приказивати јавно. Класификација је локална одлука о мрежи, а не изјава о акредитивима који су отворили тунел. Налог може бити потпуно валидан док ознака остаје тамо где је почела.
Три категорије, једну од којих не можете да поставите
Windows излаже три категорије и само две од њих може доделити администратор. Трећу одређује оперативни систем након што успешно потврди мрежу код контролера домена.
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedТрећа команда не успева и то је документовано понашање, а не проблем са дозволама. Референца саме команде наводи да се категорија домена не може доделити на тај начин, јер је Windows изводи из провере домена. Видети грешку је корисна потврда да је категорија последица, а не подешавање.
Прочитајте прву команду на крајњој тачки чији се саобраћај блокира. Класификација сопственог интерфејса гејтвеја не говори ништа о томе како је свака радна станица која се повезује класификовала свој тунел.
Правила следе профил за који су написана
Када знате категорију, недостајући приступ обично сам се објашњава. Свако правило Windows Firewall-а носи обим профила, а правило ограничено на домен не важи када је интерфејс јаван. Три команде то претварају у одговор, а не у теорију, а трећа хвата случај у којем профил никада није био проблем:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionДруга команда је она која нејасан извештај претвара у исправку. Ако је правило ограничено на опсег удаљених адреса који не укључује базен VPN-а, ни промена профила неће помоћи.
Проверите и подразумевану радњу за долазни саобраћај. На машини на којој је долазни саобраћај подразумевано блокиран, недостајуће правило дозволе производи тишину уместо одбијања. Са клијентске стране то изгледа исто као грешка у рутирању, и зато толико ових тикета почиње с погрешном претпоставком.
Утврдите која машина спроводи правило
Пре промене категорије утврдите где се блокирање дешава. Сервер који хостује дељење може имати сопствени заштитни зид, а његова правила важе за саобраћај који долази из базена VPN-а без обзира на то како је клијент означио свој адаптер. Одбијање тамо је невидљиво за сваку локалну команду коју покренете, а клијентска страна само извештава да ресурс није доступан. Тестирајте сопствена правила одредишта пре него што дирнете класификацију клијента.
Тестирајте од клијента до конкретног порта, затим упоредите са тестом са другог хоста у истом VPN-у. Ако оба не успеју, проблем је на одредишту или на путу. Ако не успе само једно, разлика је локална за ту машину и категорија профила постаје вероватан узрок.
Имајте на уму и смер. Правило које дозвољава долазни SMB не чини ништа за клијента чије сопствено излазно правило блокира исти саобраћај. Из прозора прегледача датотека два се квара не разликују, па тестирајте сваки смер одвојено пре било каквог уређивања.
Шта учинити уместо преименовања свега
Прављење неидентификоване мреже приватном да би се задовољило широко правило је стварна промена са стварним последицама. Приватни профил обично дозвољава више откривања и више долазног саобраћаја од јавног.
Ако је циљ да конкретна услуга достигне VPN клијенте, ограничите правило по удаљеној адреси уместо по профилу. То прецизно изражава намеру, ради без обзира на класификацију и не зависи од тога да ли Windows исправно погађа виртуелни адаптер. Такође преживљава ажурирање клијента које рекласификује интерфејс. Упишите базен у правило и следећа особа може прочитати намеру без питања.
Ако се категорија домена заиста очекује и никада се не појави, то је одвојена истрага. Проверите да ли је машина придружена домену, да ли може да достигне контролер домена кроз тунел и да ли је безбедни канал здрав. Те три команде одговарају на то без иједне измене регистра:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comТе три одговарају на питање да ли је крајња тачка уопште могла да потврди мрежу. Ако не може да достигне контролер, категорија домена никада неће бити додељена, колико год пута адаптер био ресетован. Правило заштитног зида за којим сте јурили никада није било прави проблем, а ознака је била симптом поквареног пута, а не узрок.