Windows యొక్క పబ్లిక్ ఫైర్వాల్ ప్రొఫైల్ ద్వారా VPN క్లయింట్లు నిరోధించబడతాయి

మీ టన్నెల్ నడుస్తోంది, గేట్వే ping కి ప్రతిస్పందిస్తుంది, ఇంకా ఫైల్ షేరింగ్ సమయం మించిపోతుంది. ఈ కలయిక అరుదుగా రూటింగ్ సమస్య; Windows VPN అడాప్టర్ సబ్నెట్ను పబ్లిక్ ప్రొఫైల్లో పెట్టింది, మరియు ప్రైవేట్ లేదా డొమైన్ కోసం రాసిన ప్రతి అనుమతి నియమం ఎప్పుడూ వర్తించలేదు. కార్యాలయాన్ని సరిగ్గా చేరే ల్యాప్టాప్లలో, మిగిలిన అందరు క్లయింట్లకు సేవ చేసే RRAS సర్వర్లలో దీన్ని చూశాను, సంబంధిత ప్రొఫైల్ను పేర్కొనగానే మరమ్మతు చిన్నది. ఇది నా పని క్రమం, తదుపరి అడుగుకు ముందు ఎప్పుడు ఆగాలో చెప్పే తనిఖీతో పాటు.

ట్రాఫిక్ నిజంగా ఏ ప్రొఫైల్లో వస్తుందో కనుగొనండి

Windows ఫైర్వాల్కు ఒకే గ్లోబల్ మోడ్ లేదు. ప్రతి కనెక్ట్ చేయబడిన ఇంటర్ఫేస్ ఒక వర్గాన్ని కలిగి ఉంటుంది, ఇన్బౌండ్ ప్యాకెట్లు అవి వచ్చే ఇంటర్ఫేస్ వర్గం ప్రకారం ఫిల్టర్ అవుతాయి, కాబట్టి టన్నెల్లోని క్లయింట్ ఏమి చేరుకోగలదో VPN అడాప్టర్ ప్రొఫైల్ నిర్ణయిస్తుంది, పక్కన ఉన్న Wi-Fi లేదా ఈథర్నెట్ అడాప్టర్ కాదు. ఏదైనా మార్చే ముందు రెండు వాస్తవాలను చదవండి:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

సాధారణ OpenVPN లేదా WireGuard ఇన్స్టాలేషన్లో VPN అడాప్టర్ గుర్తించబడని నెట్వర్క్గా కనిపించి పబ్లిక్ ప్రొఫైల్లో పడుతుంది, ఇది Windows వర్గీకరించలేని ఏ నెట్వర్క్కైనా డిఫాల్ట్: దానిపై ఏ డొమైన్ కంట్రోలర్ స్పందించలేదు, ఏ గేట్వే ప్రొఫైల్ సరిపోలలేదు. ఇంటర్ఫేస్ పేరు ఇక్కడ ముఖ్యం కాదు, కాబట్టి అడాప్టర్ను "VPN" లేదా "Corp" అని పిలవడం ఏమీ మార్చదు. DomainAuthenticated కు డొమైన్లో చేరిన మెషిన్ కావాలి , అది ఆ ఇంటర్ఫేస్ ద్వారా నిజంగా డొమైన్ కంట్రోలర్ను చేరుకోగలగాలి; ఒకే సబ్నెట్ మాత్రమే మోసే విభజిత టన్నెల్ ఈ షరతును తీర్చదు.

మీకు కావాల్సిన నియమం ఇప్పటికే VPN పూల్కు పరిమితమై ఉండి, మీరు ఇప్పుడే చదివిన వర్గానికి ఇప్పటికే వర్తిస్తుంటే, ఇక్కడే ఆగండి: ఫిల్టరింగ్ మీ పొర కాదు, తర్వాత చూడాల్సిన స్థలం సేవా కాన్ఫిగరేషన్. ఈ తనిఖీ పది సెకన్లు తీసుకుంటుంది, గంట నియమ సవరణను ఆదా చేస్తుంది. వర్గాల పేర్లు, ప్రతి ఒక్కటి ఏమి కవర్ చేస్తుందో Get-NetConnectionProfile సూచనలో నమోదు చేయబడ్డాయి.

నియమాలను సవరించే ముందు ఇది రూటింగ్ కాదు, ఫిల్టరింగ్ అని నిర్ధారించండి

Ping బలహీనమైన పరీక్ష. సేవా పోర్ట్ విస్మరించబడుతున్నప్పుడు ICMP దాటవచ్చు, హోస్ట్ LAN నుండి ప్రతిస్పందించవచ్చు కానీ అదే అభ్యర్థనను టన్నెల్ ద్వారా తిరస్కరించవచ్చు. క్లయింట్కు అవసరమైన పోర్ట్ను క్లయింట్ నుండి పరీక్షించండి:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

పోర్ట్ పరీక్ష విఫలమైతే రెండు పొరలను వేరు చేయండి. టన్నెల్ లేదా మార్గ లోపం సాధారణంగా గేట్వే చిరునామా నుండి ఎలాంటి ప్రతిస్పందన రాకపోవడంగా కనిపిస్తుంది, అయితే ఫైర్వాల్ తిరస్కరణ ప్రతిస్పందించే గేట్వే, ప్రతిస్పందించని సేవా పోర్ట్ను చూపిస్తుంది. RRAS ద్వారా పూల్ను ప్రచురించే Windows సర్వర్లో అదే పరీక్షను క్లయింట్ నుండి నడపండి, సర్వర్ స్వంత ప్రొఫైల్ను చదవండి: RAS ఇంటర్ఫేస్ ఇన్బౌండ్ నియమాలు క్లయింట్ పరిధిని ఎప్పుడూ ప్రస్తావించని వర్గంలో ఉండవచ్చు, అందుకే ఆ మెషిన్ తన LAN కు సేవ చేస్తుంది, టన్నెల్లోని ప్రతి క్లయింట్ను తిరస్కరిస్తుంది.

ఫలితం ఇంకా అస్పష్టంగా ఉంటే, సంబంధిత ప్రొఫైల్ తిరస్కరణలను లాగ్ చేసి వాటిని చదవండి:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

క్లయింట్ చిరునామా, పోర్ట్ను DROP తో పేర్కొనే నమోదులు నిర్ణాయకం, ఏ నియమం లేదో కూడా అవి చెబుతాయి. ఏమీ లేని లాగ్, క్లయింట్ SYN ఎప్పుడూ కనిపించనప్పుడు, హోస్ట్ పైభాగానికి సూచిస్తుంది, కాబట్టి మరో ఫైర్వాల్ వస్తువును తాకే ముందు టన్నెల్, NAT నియమం లేదా పూల్ మార్గానికి తిరిగి వెళ్లండి.

ఒక ఇన్బౌండ్ నియమాన్ని క్లయింట్ పూల్కు పరిమితం చేయండి

మరమ్మతు అంటే దూర చిరునామా ప్రపంచం కాదు, పూల్ అయిన ఒకే ఇన్బౌండ్ అనుమతి నియమం. ఎలివేటెడ్ సెషన్ నుండి:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

సేవ ఒకే బైనరీ ఫైల్ అయితే, పోర్ట్ జాబితాకు బదులు -Program పరామితితో ప్రోగ్రామ్-పరిమిత నియమానికి ప్రాధాన్యం ఇవ్వండి; ఇది మినహాయింపును ప్రక్రియకు, మూల పరిధికి పరిమితం చేస్తుంది.

ప్రొఫైల్ ఎంపికే అదే తప్పు వ్యతిరేక దిశలో జరిగే స్థలం. -Profile Public అడాప్టర్ పబ్లిక్గా ఉండి పబ్లిక్గానే ఉంటే సరిపోతుంది. -Profile Any Windows అడాప్టర్ను ఎలా వర్గీకరించినా సేవ పనిచేయాల్సి వచ్చినప్పుడు సమర్థనీయం, కానీ దూర పరిధి నిలిచినంత కాలమే. ఎప్పటికీ సమర్థనీయం కానిది -RemoteAddress Any పబ్లిక్ ప్రొఫైల్లో: ఆ నియమం ల్యాప్టాప్తో పాటు అది చేరే ప్రతి కేఫే, హోటల్ నెట్వర్క్కు వెళ్లి ఆ సబ్నెట్ పంచుకునే ప్రతి ఒక్కరికీ పోర్ట్ తెరుస్తుంది.

పూల్ను నియమం పక్కన నమోదు చేయండి. -RemoteAddress 10.8.0.0/24 VPN పూల్ తిరిగి సంఖ్యాకరించబడే రోజున నిశ్శబ్దంగా సరిపోలడం ఆపేస్తుంది, వైఫల్యం అసలు బగ్లానే కనిపిస్తుంది, అందుకే ఇది మరో మధ్యాహ్నాన్ని తీసుకుంటుంది. నియమాలకు సేవ, మూల పరిధి పేరు పెట్టండి, వాటిని -Group తో పాటు ఉంచండి, పూల్ నిర్వచనం మారినప్పుడల్లా వాటిని తిరిగి చదవండి. ఒక స్క్రీన్పై ఆడిట్ చేయగల నియమ జాబితా ఎవరికీ దొరకని సరైన నియమం కంటే మెరుగైనది.

వర్గమే నిర్ణయమైనప్పుడు మాత్రమే వర్గాన్ని మార్చండి

ఇంటర్ఫేస్ను ప్రైవేట్కు మార్చడం కూడా పనిచేస్తుంది, అది తప్పు డిఫాల్ట్. ప్రైవేట్ ప్రొఫైల్లో అనేక అంతర్నిర్మిత అనుమతి నియమాలు ఉన్నాయి, అవి ఫైల్, ప్రింటర్ షేరింగ్, నెట్వర్క్ ఆవిష్కరణ, రిమోట్ డెస్క్టాప్, బేస్లైన్ను బట్టి మరిన్ని కవర్ చేస్తాయి, కాబట్టి VPN అడాప్టర్ను తిరిగి వర్గీకరించడం వాటిని టన్నెల్లోని ప్రతి క్లయింట్కు ఒకేసారి సక్రియం చేస్తుంది. ఒక పరిమిత నియమం ఒక సేవను ఒక పరిధికి ఇస్తుంది. నమ్మశక్యం కాని నెట్వర్క్లలో కూడా చేరే ల్యాప్టాప్లో ఈ తేడా ఉపరితలమైనది కాదు.

వర్గీకరణ నిజంగా తప్పు అయిన సందర్భాలు ఉన్నాయి: కార్యాలయ సబ్నెట్ మోసే ఎల్లప్పుడూ-ఆన్ లేదా సైట్-టు-సైట్ టన్నెల్ విశ్వసనీయ మౌలిక సదుపాయం, ఆ అడాప్టర్ను ప్రైవేట్గా గుర్తించడం ఒకసారి విధానం ద్వారా తీసుకునే చట్టబద్ధమైన డిజైన్ నిర్ణయం, ప్రతి టికెట్కు కాదు. చేసినప్పుడు స్పష్టంగా చేయండి:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

నిర్వహించబడే పరికరంలో ముందుగా సెట్టింగ్ గ్రూప్ పాలసీ లేదా MDM బేస్లైన్ యాజమాన్యంలో ఉందా అని తనిఖీ చేయండి. ఉంటే, స్థానిక మార్పు తదుపరి రిఫ్రెష్లో వెనక్కి తీసుకోబడుతుంది, మరియు gpresult /h దానిని కలిగి ఉన్న విధానాన్ని పేర్కొంటుంది; అక్కడే సరిచేయండి, ఎండ్పాయింట్లో కాదు.

రెండు చివరల నుండి ధృవీకరించి జాడ వదిలివేయండి

మార్పు తర్వాత వినియోగదారు నివేదించిన ప్రవాహాన్ని క్లయింట్ నుండి ధృవీకరించండి:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

తర్వాత వచ్చే వారం విరిగిపోయే విషయాలపై లూప్ మూసివేయండి. హోస్ట్ను పునఃప్రారంభించి మళ్లీ పరీక్షించండి, ఎందుకంటే తప్పు ప్రొఫైల్కు పరిమితమైన నియమం అడాప్టర్ మరో వర్గంలో తిరిగి వచ్చే వరకు పనిచేస్తూనే ఉంటుంది. రెండో క్లయింట్ నుండి పరీక్షించండి, ఎందుకంటే పాత లీజ్ ఉన్న ఒక క్లయింట్ పూల్ అసమతుల్యతను దాచవచ్చు. జోడించిన నియమాలను తొలగించిన వాటితో లెక్కించండి, ఎందుకంటే అతివ్యాప్తి చెందే మినహాయింపులే రెండు లైన్ల మరమ్మతును ఎవరూ సమీక్షించలేని ఫిల్టరింగ్ విధానంగా మార్చే మార్గం.

దీన్ని పూర్తయింది అని చెప్పే ముందు:

• నియమంలో పేర్కొన్న ప్రొఫైల్ ట్రాఫిక్ వచ్చే ఇంటర్ఫేస్ ప్రొఫైల్.
• దూర పరిధి VPN పూల్, ఆ పూల్ సర్వర్ నిజంగా ఇచ్చే దానితో సరిపోలుతుంది.
• మీరు జోడించిన ఏ నియమం కూడా -RemoteAddress Any పబ్లిక్ ప్రొఫైల్లో ఉపయోగించదు.
• పరీక్ష పాస్ కావడానికి ఏమీ నిలిపివేయబడలేదు, ప్రతి వర్గ మార్పు ఎవరు ఆమోదించారో నమోదు చేస్తుంది.