ทำไมอะแดปเตอร์ VPN ของคุณจึงยังอยู่บนโปรไฟล์ไฟร์วอลล์สาธารณะ
การลงชื่อเข้าใช้โดเมนไม่ได้จัดประเภทเครือข่ายเป็นโดเมน และส่วนตัวไม่ใช่ตัวแทน อ่านโปรไฟล์ของกฎ แล้วจึงอ่านเครื่องที่บังคับใช้
อุโมงค์เชื่อมต่ออยู่ บัญชีได้รับการพิสูจน์ตัวตนกับโดเมนแล้ว แต่ Windows ยังติดป้ายการเชื่อมต่อว่าเป็นสาธารณะ ดังนั้นกฎไฟร์วอลล์ที่เขียนไว้สำหรับโปรไฟล์โดเมนจึงไม่มีผล และการแชร์ไฟล์ยังคงเข้าถึงไม่ได้ การแก้ไขตามปกติคือตั้งอะแดปเตอร์เป็นส่วนตัว ซึ่งเปลี่ยนว่ากฎใดมีผลโดยไม่เปลี่ยนอะไรในการพิสูจน์ตัวตน ทั้งป้ายและการแก้ไขต่างถูกเข้าใจผิดอย่างกว้างขวาง และการแยกสองสิ่งนี้ออกจากกันต้องใช้สามคำสั่ง
บัญชีที่เชื่อมต่อไม่ใช่หมวดหมู่ของเครือข่าย
ระหว่างการเชื่อมต่อ VPN มีการตัดสินใจที่แตกต่างกันสองอย่าง และง่ายที่จะสับสนระหว่างกัน เกตเวย์ตัดสินว่าบัญชีเชื่อมต่อได้หรือไม่ Windows ตัดสินว่าจะจัดประเภทเครือข่ายที่ได้อย่างไร และการจัดประเภทนั้นกำหนดว่ากฎไฟร์วอลล์ใดมีผลกับอินเทอร์เฟซ
การพิสูจน์ตัวตนโดเมนที่สำเร็จที่เกตเวย์เป็นหลักฐานเกี่ยวกับบัญชี ไม่ใช่หลักฐานว่าปลายทางได้พิสูจน์ตัวตนเครือข่ายกับตัวควบคุมโดเมน ซึ่งเป็นสิ่งที่หมวดหมู่โดเมนแสดงถึง
นี่คือเหตุผลที่เครื่องหนึ่งอาจเข้าร่วมโดเมน เชื่อมต่อด้วยบัญชีโดเมน และยังคงแสดงเป็นสาธารณะ การจัดประเภทเป็นการตัดสินใจในเครื่องเกี่ยวกับเครือข่าย ไม่ใช่ข้อความเกี่ยวกับข้อมูลรับรองที่เปิดอุโมงค์ บัญชีอาจถูกต้องสมบูรณ์ในขณะที่ป้ายยังอยู่ที่เดิม
สามหมวดหมู่ ซึ่งหนึ่งในนั้นคุณกำหนดไม่ได้
Windows มีสามหมวดหมู่ และผู้ดูแลระบบกำหนดได้เพียงสองหมวดหมู่เท่านั้น หมวดที่สามถูกกำหนดโดยระบบปฏิบัติการหลังจากพิสูจน์ตัวตนเครือข่ายกับตัวควบคุมโดเมนสำเร็จ
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedคำสั่งที่สามล้มเหลว และนี่คือพฤติกรรมที่บันทึกไว้ ไม่ใช่ปัญหาเรื่องสิทธิ์ เอกสารอ้างอิงของคำสั่งเองระบุว่าหมวดหมู่โดเมนไม่สามารถกำหนดด้วยวิธีนี้ได้ เพราะ Windows ได้มาจากการพิสูจน์ตัวตนโดเมน การเห็นข้อผิดพลาดเป็นการยืนยันที่มีประโยชน์ว่าหมวดหมู่เป็นผลลัพธ์ ไม่ใช่การตั้งค่า
อ่านคำสั่งแรกบนปลายทางที่ทราฟฟิกถูกบล็อก การจัดประเภทอินเทอร์เฟซของเกตเวย์เองไม่ได้บอกอะไรเกี่ยวกับวิธีที่สถานีงานแต่ละแห่งจัดประเภทอุโมงค์ของตน
กฎเป็นไปตามโปรไฟล์ที่เขียนไว้
เมื่อทราบหมวดหมู่แล้ว การเข้าถึงที่ขาดหายมักอธิบายตัวเอง กฎไฟร์วอลล์ Windows ทุกกฎมีขอบเขตโปรไฟล์ และกฎที่จำกัดเฉพาะโดเมนไม่มีผลเมื่ออินเทอร์เฟซเป็นสาธารณะ สามคำสั่งเปลี่ยนสิ่งนี้เป็นคำตอบไม่ใช่ทฤษฎี และคำสั่งที่สามจับกรณีที่โปรไฟล์ไม่เคยเป็นปัญหา
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionคำสั่งที่สองคือคำสั่งที่เปลี่ยนรายงานที่คลุมเครือให้เป็นการแก้ไข หากกฎถูกจำกัดเฉพาะช่วงที่อยู่ระยะไกลที่ไม่รวมพูล VPN การเปลี่ยนโปรไฟล์ก็ไม่ช่วยเช่นกัน
ตรวจสอบการกระทำขาเข้าตามค่าเริ่มต้นด้วย บนเครื่องที่ทราฟฟิกขาเข้าถูกบล็อกตามค่าเริ่มต้น กฎอนุญาตที่ขาดหายทำให้เกิดความเงียบแทนการปฏิเสธ จากฝั่งไคลเอนต์สิ่งนี้ดูเหมือนความล้มเหลวในการกำหนดเส้นทาง ซึ่งเป็นเหตุให้ตั๋วจำนวนมากเริ่มต้นด้วยสมมติฐานที่ผิด
ระบุว่าเครื่องใดบังคับใช้กฎ
ก่อนเปลี่ยนหมวดหมู่ ให้ระบุว่าการบล็อกเกิดขึ้นที่ใด เซิร์ฟเวอร์ที่โฮสต์การแชร์อาจมีไฟร์วอลล์ของตัวเอง และกฎของมันมีผลกับทราฟฟิกที่มาจากพูล VPN โดยไม่คำนึงว่าไคลเอนต์ติดป้ายอะแดปเตอร์อย่างไร การปฏิเสธที่นั่นมองไม่เห็นจากคำสั่งภายในเครื่องใดๆ ที่คุณเรียกใช้ และฝั่งไคลเอนต์รายงานเพียงว่าไม่สามารถใช้งานทรัพยากรได้ ทดสอบกฎของปลายทางเองก่อนแตะการจัดประเภทของไคลเอนต์
ทดสอบจากไคลเอนต์ไปยังพอร์ตที่ระบุ แล้วเปรียบเทียบกับการทดสอบจากโฮสต์อื่นใน VPN เดียวกัน หากทั้งสองล้มเหลว ปัญหาอยู่ที่ปลายทางหรือบนเส้นทาง หากล้มเหลวเพียงอย่างเดียว ความแตกต่างเป็นเรื่องภายในเครื่องนั้น และหมวดหมู่โปรไฟล์กลายเป็นสาเหตุที่เป็นไปได้
คำนึงถึงทิศทางด้วย กฎที่อนุญาต SMB ขาเข้าไม่ได้ช่วยอะไรกับไคลเอนต์ที่กฎขาออกของตัวเองบล็อกทราฟฟิกเดียวกัน จากหน้าต่างตัวสำรวจไฟล์ความล้มเหลวทั้งสองแยกกันไม่ได้ ดังนั้นทดสอบแต่ละทิศทางแยกกันก่อนแก้ไขอะไร
จะทำอะไรแทนการติดป้ายทุกอย่างใหม่
การทำให้เครือข่ายที่ไม่รู้จักเป็นส่วนตัวเพื่อตอบสนองกฎที่กว้างคือการเปลี่ยนแปลงจริงพร้อมผลที่แท้จริง โปรไฟล์ส่วนตัวมักอนุญาตการค้นพบและทราฟฟิกขาเข้ามากกว่าโปรไฟล์สาธารณะ
หากเป้าหมายคือให้บริการเฉพาะเข้าถึงไคลเอนต์ VPN ให้จำกัดกฎตามที่อยู่ระยะไกลแทนโปรไฟล์ สิ่งนี้แสดงเจตนาอย่างแม่นยำ ทำงานได้โดยไม่ขึ้นกับการจัดประเภท และไม่ขึ้นกับว่า Windows เดาเครื่องเสมือนถูกหรือไม่ นอกจากนี้ยังทนต่อการอัปเดตไคลเอนต์ที่จัดประเภทอินเทอร์เฟซใหม่ เขียนพูลลงในกฎแล้วคนถัดไปจะอ่านเจตนาได้โดยไม่ต้องถาม
หากคาดหวังหมวดหมู่โดเมนจริงแต่ไม่เคยปรากฏ นั่นคือการสอบสวนแยกต่างหาก ตรวจสอบว่าเครื่องเข้าร่วมโดเมน สามารถเข้าถึงตัวควบคุมโดเมนผ่านอุโมงค์ และช่องทางที่ปลอดภัยอยู่ในสภาพดี สามคำสั่งเหล่านี้ตอบได้โดยไม่ต้องแก้ไขรีจิสทรีแม้แต่ครั้งเดียว
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comสามคำสั่งนี้ตอบว่าปลายทางสามารถพิสูจน์ตัวตนเครือข่ายได้หรือไม่ หากเข้าถึงตัวควบคุมไม่ได้ หมวดหมู่โดเมนจะไม่ถูกกำหนดเลยไม่ว่าจะรีเซ็ตอะแดปเตอร์กี่ครั้ง กฎไฟร์วอลล์ที่คุณตามหาอยู่ไม่เคยเป็นปัญหาจริง และป้ายเป็นอาการของเส้นทางที่เสียหาย ไม่ใช่สาเหตุ