Wateja wa VPN Wamezuiwa na Profaili ya Umma ya Firewall ya Windows

Tuneli yako iko juu, lango hujibu kwa ping, na ushirikiano wa faili bado unaisha kwa muda. Mchanganyiko huo mara chache ni tatizo la uelekezaji: Windows imeweka subneti ya adapta ya VPN katika profaili ya Umma, na kila sheria ya kuruhusu iliyoandikwa kwa Ajabu au Kikoa haikutumika kamwe. Nimekutana na hili kwenye kompyuta za mkononi zinazofika ofisini bila shida na kwenye seva za RRAS zinazohudumia wateja wengine wote, na ukarabati ni mfupi mara tu unapotaja profaili inayohusika. Hii hapa ni mfululizo ninaofanya kazi nao, pamoja na ukaguzi unaokwambia wakati wa kusimama kabla ya hatua inayofuata.

Tambua ni profaili gani trafiki inafika kweli

Firewall ya Windows haina hali moja ya kimataifa. Kila kiolesura kilichounganishwa hubeba kategoria, na pakiti zinazoingia huchujwa kulingana na kategoria ya kiolesura zinachoingia, kwa hivyo profaili ya adapta ya VPN huamua mteja aliye kwenye tuneli anaweza kufikia nini, sio adapta ya Wi-Fi au Ethernet iliyo kando. Soma ukweli wote wawili kabla ya kubadilisha chochote:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

Katika usanidi wa kawaida wa OpenVPN au WireGuard, adapta ya VPN inaonekana kama mtandao usiojulikana na huangukia katika Umma, ambao ni chaguo-msingi kwa mtandao wowote ambao Windows haiwezi kuainisha: hakuna kidhibiti cha kikoa kilichojibu kupitia hiyo na hakuna profaili ya lango iliyolingana. Jina la kiolesura halina umuhimu hapa, kwa hivyo kuiita adapta "VPN" au "Corp" hakubadilishi chochote. DomainAuthenticated inahitaji mashine iliyounganishwa na kikoa , ambayo inaweza kufikia kidhibiti cha kikoa kupitia kiolesura hicho; tuneli iliyogawanyika inayobeba subneti moja haitatosheleza sharti hilo.

Ikiwa sheria unayohitaji tayari imezuiwa kwa dimbwi la VPN na tayari inatumika kwa kategoria uliyosoma hivi punde, simama hapa: uchujaji sio tabaka lako, na mahali panapofuata pa kuangalia ni usanidi wa huduma. Ukaguzi huo huchukua sekunde kumi na kuokoa saa moja ya uhariri wa sheria. Majina ya kategoria na kile kila moja inashughulikia yameandikwa katika marejeleo ya Get-NetConnectionProfile.

Thibitisha uchujaji, sio uelekezaji, kabla ya kuhariri sheria

Ping ni jaribio dhaifu. ICMP inaweza kupita wakati bandari ya huduma inatupwa, na mwenyeji anaweza kujibu kutoka LAN wakati anakataa ombi hilo hilo kupitia tuneli. Jaribu bandari ambayo mteja anahitaji, kutoka kwa mteja:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Ikiwa jaribio la bandari linashindwa, tenga tabaka mbili. Hitilafu ya tuneli au njia kwa kawaida huonekana kama hakuna jibu kabisa kutoka anwani ya lango, wakati utupaji wa firewall unaonyesha lango linalojibu na bandari ya huduma isiyojibu. Kwenye seva ya Windows inayochapisha dimbwi kupitia RRAS, endesha jaribio hilo hilo kutoka kwa mteja na usome profaili ya seva yenyewe: kiolesura cha RAS kinaweza kukaa katika kategoria ambayo sheria zake za kuingia hazitaji kamwe masafa ya wateja, na ndio sababu mashine huhudumia LAN yake na kukataa kila mteja aliye kwenye tuneli.

Wakati matokeo bado hayajulikani, rekodi utupaji wa profaili inayohusika na uzisome:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Maingizo yanayotaja anwani na bandari ya mteja pamoja na DROP ni ya mwisho, na pia yanakuambia sheria ipi ilikosekana. Kumbukumbu isiyo na chochote wakati SYN ya mteja haionekani kamwe inaelekeza juu ya mwenyeji, kwa hivyo rudi kwenye tuneli, sheria ya NAT, au njia ya dimbwi kabla ya kugusa kitu kingine cha firewall.

Weka sheria moja ya kuingia kwenye dimbwi la wateja

Ukarabati ni sheria moja ya kuruhusu ya kuingia ambayo anwani yake ya mbali ni dimbwi, sio dunia nzima. Kutoka kikao kilichoinuliwa:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Wakati huduma ni faili moja ya binary, pendelea sheria iliyozuiwa kwa programu na -Program badala ya orodha ya bandari; hiyo inazuia ubaguzi kwa mchakato na pia kwa masafa ya chanzo.

Uchaguzi wa profaili ndipo kosa hilo hilo hufanywa kwa mwelekeo kinyume. -Profile Public inatosha wakati adapta ni ya Umma na inabaki ya Umma. -Profile Any inaweza kuteteleka wakati huduma lazima ifanye kazi bila kujali jinsi Windows inavyoweka adapta, lakini tu wakati wigo wa mbali unadumu. Kile ambacho hakiwezi kuteteleka kamwe ni -RemoteAddress Any kwenye profaili ya Umma: sheria hiyo hufuata kompyuta ya mkononi katika kila mtandao wa mkahawa na hoteli inaojiunga nao na kufungua bandari kwa yeyote anayeshiriki subneti hiyo.

Andika dimbwi kando ya sheria. -RemoteAddress 10.8.0.0/24 huacha kimya kimya kulingana siku dimbwi la VPN linapohesabiwa upya, na hitilafu inaonekana sawa kabisa na mdudu wa awali, ndio sababu inagharimu mchana wa pili. Taja sheria kwa jina la huduma na masafa ya chanzo, ziweke pamoja na -Group, na uzisome tena kila wakati ufafanuzi wa dimbwi unabadilika. Orodha ya sheria unayoweza kukagua kwenye skrini moja inashinda sheria sahihi ambayo hakuna mtu anayeweza kuipata.

Badilisha kategoria tu wakati kategoria ndio uamuzi

Kubadilisha kiolesura kuwa cha Ajabu pia kunafanya kazi, na ni chaguo-msingi lisilo sahihi. Profaili ya Ajabu hubeba orodha ndefu ya sheria za kuruhusu zilizojengewa ndani, zinazoshughulikia ushirikiano wa faili na printa, ugunduzi wa mtandao, dawati la mbali na zaidi kulingana na msingi, kwa hivyo kuainisha upya adapta ya VPN huwasha zote kwa wakati mmoja kwa kila mteja kwenye tuneli. Sheria moja iliyozuiwa hutoa huduma moja kwa masafa moja. Kwenye kompyuta ya mkononi inayojiunga pia na mitandao isiyoaminika, tofauti hiyo sio ya urembo.

Kuna visiwa ambapo uainishaji ni wa kweli makosa: tuneli inayowaka kila wakati au kati ya maeneo inayobeba subneti ya ofisi ni miundombinu inayoaminika, na kuweka alama kwenye adapta hiyo kama Ajabu ni uamuzi halali wa muundo, uliofanywa mara moja kwa sera na sio kwa kila tikiti. Unapoufanya, ufanye wazi:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Kwenye kifaa kinachosimamiwa, angalia kwanza ikiwa Sera ya Kikundi au msingi wa MDM unamiliki mpangilio huo. Ikiwa unamiliki, mabadiliko ya ndani yatabatilishwa kwenye uboreshaji unaofuata, na gpresult /h itataja sera inayoimiliki; rekebisha huko, sio kwenye kituo cha mwisho.

Thibitisha kutoka pande zote mbili na uache alama

Thibitisha mtiririko ulioripotiwa na mtumiaji, kutoka kwa mteja, baada ya mabadiliko:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Kisha funga mzunguko kwa mambo yatakayovunjika wiki ijayo. Washa upya mwenyeji na ujaribu tena, kwa sababu sheria iliyozuiwa kwa profaili isiyo sahihi inaendelea kufanya kazi hadi adapta irudi katika kategoria nyingine. Jaribu kutoka kwa mteja wa pili, kwani mteja mmoja aliye na kukodisha kwa muda mrefu anaweza kuficha kutofautiana kwa dimbwi. Hesabu sheria ulizoongeza dhidi ya zile ulizoondoa, kwa sababu vighairi vinavyopishana ndio njia ambayo marekebisho ya mistari miwili huwa sera ya uchujaji ambayo hakuna mtu anayeweza kuipitia.

Kabla ya kuiita imekamilika:

• Profaili iliyotajwa kwenye sheria ni profaili ya kiolesura ambacho trafiki inafika.
• Wigo wa mbali ni dimbwi la VPN, na dimbwi hilo linalingana na kile seva hutoa kweli.
• Hakuna sheria uliyoongeza inayotumia -RemoteAddress Any kwenye profaili ya Umma.
• Hakuna kitu kilizimwa ili jaribio lipite, na kila mabadiliko ya kategoria hurekodi ni nani aliyeidhinisha.