Bakit nananatili ang iyong VPN adapter sa pampublikong firewall profile

Nakaupo ang tunnel, na-authenticate ang account sa domain, at tinatag pa rin ng Windows ang koneksyon bilang pampubliko. Kaya hindi nalalapat ang panuntunan ng firewall na isinulat para sa profile ng domain, at nananatiling hindi maabot ang file sharing. Ang karaniwang pagtatangkang ayusin ay itakda ang adapter sa pribado, na nagbabago kung aling mga panuntunan ang nalalapat nang walang binabago sa authentication. Parehong hindi nauunawaan nang malawak ang label at ang pag-aayos, at ang paghihiwalay sa kanila ay nangangailangan ng tatlong utos.

Ang account na kumonekta ay hindi ang kategorya ng network

Dalawang magkaibang desisyon ang ginagawa sa panahon ng koneksyon ng VPN at madaling paghalo-haluin. Ang gateway ang nagpapasya kung makakakonekta ang account. Ang Windows ang nagpapasya kung paano uuriin ang resultang network, at ang uriing iyon ang tumutukoy kung aling mga panuntunan ng firewall ang nalalapat sa interface.

Ang matagumpay na authentication ng domain sa gateway ay ebidensya tungkol sa account. Hindi ito ebidensya na na-authenticate ng endpoint ang network sa isang domain controller, at iyon ang eksaktong kinakatawan ng kategoryang domain.

Iyon ang dahilan kung bakit ang isang makina ay maaaring sumali sa domain, kumonekta gamit ang account ng domain, at magpakita pa rin ng pampubliko. Ang pag-uuri ay lokal na pagpapasya tungkol sa network, hindi pahayag tungkol sa mga kredensyal na nagbukas ng tunnel. Ang account ay maaaring ganap na wasto habang ang label ay nananatili kung saan ito nagsimula.

Tatlong kategorya, isa sa kanila ay hindi mo matatakda

Nagpapakita ang Windows ng tatlong kategorya at dalawa lamang sa kanila ang maaaring italaga ng administrator. Ang pangatlo ay pinapasya ng operating system pagkatapos nitong matagumpay na ma-authenticate ang network sa isang domain controller.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Nabigo ang pangatlong utos, at ito ay ang dokumentadong pag-uugali at hindi problema sa pahintulot. Ang sanggunian ng utos mismo ay nagsasaad na hindi maaaring italaga ang kategoryang domain sa ganitong paraan, dahil hinango ito ng Windows mula sa authentication ng domain. Ang makita ang error ay kapaki-pakinabang na kumpirmasyon na ang kategorya ay bunga at hindi setting.

Basahin ang unang utos sa endpoint na hinaharangan ang trapiko. Ang pag-uuri ng interface ng gateway mismo ay walang sinasabi tungkol sa kung paano inuri ng bawat workstation na kumokonekta ang sarili nitong tunnel.

Sinusunod ng mga panuntunan ang profile kung saan sila isinulat

Kapag alam mo na ang kategorya, kadalasang nagpapaliwanag na ang sarili ang nawawalang access. Bawat panuntunan ng Windows Firewall ay may saklaw ng profile, at ang panuntunang limitado sa domain ay hindi nalalapat kapag pampubliko ang interface. Ginagawa ito ng tatlong utos na sagot at hindi teorya, at nahuhuli ng pangatlo ang kaso kung saan hindi kailanman naging problema ang profile:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Ang pangalawang utos ang nagpapalit ng malabong ulat tungo sa pag-aayos. Kung ang panuntunan ay limitado sa hanay ng malalayong address na hindi kasama ang pool ng VPN, hindi rin makakatulong ang pagpapalit ng profile.

Suriin din ang default na aksyon para sa papasok na trapiko. Sa makina kung saan naka-block ang papasok bilang default, ang nawawalang panuntunan sa pagpayag ay gumagawa ng katahimikan sa halip na pagtanggi. Mula sa panig ng kliyente mukha itong eksaktong kapareho ng pagkabigo sa routing, kaya marami sa mga tiket na ito ay nagsisimula sa maling palagay.

Alamin kung aling makina ang nagpapatupad ng panuntunan

Bago baguhin ang kategorya, itatag kung saan nangyayari ang pagharang. Maaaring may sariling firewall ang server na nagho-host ng sharing, at nalalapat ang mga panuntunan nito sa trapikong dumarating mula sa pool ng VPN anuman ang pag-label ng kliyente sa adapter nito. Ang pagtanggi doon ay hindi nakikita ng anumang lokal na utos na pinapatakbo mo, at ang panig ng kliyente ay nag-uulat lamang na hindi available ang resource. Subukan ang sariling mga panuntunan ng destinasyon bago hawakan ang pag-uuri ng kliyente.

Subukan mula sa kliyente patungo sa partikular na port, pagkatapos ihambing sa pagsubok mula sa ibang host sa parehong VPN. Kung parehong nabigo, nasa destinasyon o sa ruta ang problema. Kung isa lamang ang nabigo, lokal sa makinang iyon ang pagkakaiba, at nagiging malamang na sanhi ang kategorya ng profile.

Isaisip din ang direksyon. Ang panuntunang nagpapahintulot ng papasok na SMB ay walang ginagawa para sa kliyenteng hinaharangan ng sarili nitong palabas na panuntunan ang parehong trapiko. Mula sa bintana ng file explorer hindi makilala ang dalawang pagkabigo, kaya subukan ang bawat direksyon nang hiwalay bago mag-edit ng anuman.

Ano ang dapat gawin sa halip na muling lagyan ng label ang lahat

Ang gawing Pribado ang hindi kilalang network para matugunan ang malawak na panuntunan ay tunay na pagbabago na may tunay na kahihinatnan. Karaniwang pinapayagan ng pribadong profile ang mas maraming pagtuklas at mas maraming papasok na trapiko kaysa sa pampubliko.

Kung ang layunin ay hayaang maabot ng partikular na serbisyo ang mga kliyente ng VPN, limitahan ang panuntunan sa malayong address sa halip na sa profile. Ipinapahayag nito nang tumpak ang intensyon, gumagana anuman ang pag-uuri, at hindi umaasa sa paghula ng Windows nang tama tungkol sa virtual adapter. Nakakaligtas din ito sa update ng kliyente na muling nag-uuri sa interface. Isulat ang pool sa panuntunan at mababasa ng susunod na tao ang intensyon nang hindi nagtatanong.

Kung talagang inaasahan ang kategoryang domain at hindi ito kailanman lumilitaw, iyon ay hiwalay na pagsisiyasat. Suriin kung sumali ang makina sa domain, kung maaabot nito ang domain controller sa pamamagitan ng tunnel, at kung maayos ang secure channel. Sinasagot iyon ng tatlong utos na iyon nang walang isang pag-edit sa registry:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Sinasagot ng tatlong iyon kung maa-authenticate man ng endpoint ang network. Kung hindi nito maabot ang controller, hindi kailanman matatakda ang kategoryang domain, gaano man karaming beses i-reset ang adapter. Ang panuntunan ng firewall na hinahabol mo ay hindi kailanman naging tunay na problema, at ang label ay sintomas ng sirang landas, hindi sanhi.