Kwa nini adapta yako ya VPN inabaki kwenye wasifu wa umma wa firewall

Handaki iko juu, akaunti imethibitishwa dhidi ya kikoa, na Windows bado inaweka lebo ya muunganisho kama wa umma. Kwa hiyo kanuni ya firewall iliyoandikwa kwa wasifu wa kikoa haitumiki, na kushiriki faili kunabaki kisichofikika. Jaribio la kawaida la kurekebisha ni kuweka adapta kwenye faragha, jambo ambalo hubadilisha kanuni zipi zinatumika bila kubadilisha chochote katika uthibitishaji. Lebo na marekebisho yote yanaeleweka vibaya kwa upana, na kuyatenganisha kunahitaji amri tatu.

Akaunti iliyounganishwa si kategoria ya mtandao

Wakati wa muunganisho wa VPN, maamuzi mawili tofauti hufanywa na ni rahisi kuyachanganya. Lango huamua kama akaunti inaweza kuunganishwa. Windows huamua jinsi ya kuainisha mtandao unaotokana, na uainishaji huo huamua ni kanuni zipi za firewall zinazotumika kwa kiolesura.

Uthibitishaji wa kikoa uliofanikiwa kwenye lango ni ushahidi kuhusu akaunti. Si ushahidi kwamba kituo cha mwisho kimethibitisha mtandao dhidi ya kidhibiti cha kikoa, na hiyo ndiyo kategoria ya kikoa inawakilisha.

Ndiyo sababu mashine inaweza kuwa imeunganishwa kwenye kikoa, kuunganishwa kwa akaunti ya kikoa, na bado ionyeshe wa umma. Uainishaji ni uamuzi wa ndani kuhusu mtandao, si tamko kuhusu vitambulisho vilivyofungua handaki. Akaunti inaweza kuwa halali kabisa wakati lebo inabaki pale ilipoanza.

Kategoria tatu, moja ambayo huwezi kuiweka

Windows huwasilisha kategoria tatu na mbili tu kati yao zinaweza kupewa na msimamizi. Ya tatu huamuliwa na mfumo wa uendeshaji baada ya kuthibitisha mtandao dhidi ya kidhibiti cha kikoa kwa mafanikio.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Amri ya tatu inashindwa, na hiyo ni tabia iliyoandikwa na si tatizo la ruhusa. Rejeleo la amri yenyewe linasema kategoria ya kikoa haiwezi kupewa kwa njia hii, kwa sababu Windows huipata kutoka kwa uthibitishaji wa kikoa. Kuona hitilafu ni uthibitisho muhimu kwamba kategoria ni tokeo na si mpangilio.

Soma amri ya kwanza kwenye kituo cha mwisho ambacho trafiki yake imezuiwa. Uainishaji wa kiolesura cha lango yenyewe haukuambii chochote kuhusu jinsi kila kituo cha kazi kinachounganishwa kilivyoainisha handaki yake.

Kanuni hufuata wasifu zilizoandikiwa

Mara unapojua kategoria, ufikiaji unaokosekana kwa kawaida hujieleza wenyewe. Kila kanuni ya Windows Firewall ina wigo wa wasifu, na kanuni iliyozuiwa kwa kikoa haitumiki wakati kiolesura ni cha umma. Amri tatu hubadilisha hilo kuwa jibu badala ya nadharia, na ya tatu inakamata kisa ambacho wasifu haukuwa tatizo kamwe:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Amri ya pili ndiyo inayobadilisha ripoti isiyoeleweka kuwa marekebisho. Ikiwa kanuni imezuiwa kwa anuwai ya anwani za mbali ambayo haijumuishi bwawa la VPN, kubadilisha wasifu pia hakutasaidia.

Angalia pia kitendo cha kawaida cha kuingia. Kwenye mashine ambayo trafiki inayoingia imezuiwa kwa chaguo-msingi, kanuni ya ruhusa inayokosekana huzalisha ukimya badala ya kukataliwa. Kutoka upande wa mteja hilo linaonekana sawa na kushindwa kwa uelekezaji, na ndiyo sababu tiketi nyingi kama hizi huanza na dhana isiyo sahihi.

Bainisha ni mashine gani inayotekeleza kanuni

Kabla ya kubadilisha kategoria, bainisha mahali kuzuia kunatokea. Seva inayopangisha kushiriki inaweza kuwa na firewall yake, na kanuni zake hutumika kwa trafiki inayotoka kwenye bwawa la VPN bila kujali jinsi mteja alivyoweka lebo kwenye adapta yake. Kukataliwa huko hakuonekani kwa amri yoyote ya ndani unayotekeleza, na upande wa mteja huripoti tu kwamba rasilimali haipatikani. Jaribu kanuni za marudio yenyewe kabla ya kugusa uainishaji wa mteja.

Jaribu kutoka kwa mteja hadi bandari mahususi, kisha linganisha na jaribio kutoka kwa mwenyeji mwingine kwenye VPN hiyo hiyo. Ikiwa zote mbili zinashindwa, tatizo liko kwenye marudio au kwenye njia. Ikiwa moja tu inashindwa, tofauti ni ya ndani kwa mashine hiyo, na kategoria ya wasifu inakuwa sababu inayowezekana.

Kumbuka pia mwelekeo. Kanuni inayoruhusu SMB inayoingia haifanyi chochote kwa mteja ambaye kanuni yake ya kutoka inazuia trafiki hiyo hiyo. Kutoka kwenye dirisha la kichunguzi cha faili kushindwa huku kuwili hakuwezi kutofautishwa, kwa hiyo jaribu kila mwelekeo kivyake kabla ya kuhariri chochote.

Nini cha kufanya badala ya kuweka lebo upya kila kitu

Kufanya mtandao usiojulikana kuwa Faragha ili kukidhi kanuni pana ni mabadiliko ya kweli yenye matokeo ya kweli. Wasifu wa faragha kwa kawaida huruhusu ugunduzi zaidi na trafiki zaidi inayoingia kuliko wa umma.

Ikiwa lengo ni kuruhusu huduma mahususi kufikia wateja wa VPN, zuia kanuni kwa anwani ya mbali badala ya wasifu. Hilo linaeleza nia kwa usahihi, hufanya kazi bila kujali uainishaji, na halitegemei Windows kukisia kwa usahihi kuhusu adapta pepe. Pia hustahimili sasisho la mteja linaloainisha upya kiolesura. Andika bwawa kwenye kanuni na mtu anayefuata ataweza kusoma nia bila kuuliza.

Ikiwa kategoria ya kikoa inatarajiwa kwa kweli na haionekani kamwe, hiyo ni uchunguzi tofauti. Angalia kwamba mashine imeunganishwa kwenye kikoa, inaweza kufikia kidhibiti cha kikoa kupitia handaki, na chaneli salama iko sawa. Amri hizo tatu hujibu hilo bila hata marekebisho moja ya rejista:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Hizo tatu hujibu kama kituo cha mwisho kingeweza kuthibitisha mtandao kabisa. Ikiwa hakiwezi kufikia kidhibiti, kategoria ya kikoa haitapewa kamwe, bila kujali ni mara ngapi adapta inawekwa upya. Kanuni ya firewall uliyokuwa ukiifuata haikuwa tatizo la kweli kamwe, na lebo ilikuwa dalili ya njia iliyovunjika, si sababu.