Mga Kliyenteng VPN na Hinaharangan ng Pampublikong Profile ng Firewall ng Windows

Nakaup ang iyong tunnel, sumasagot ang gateway sa ping, at nagtatapos pa rin sa timeout ang pagbabahagi ng file. Bihirang maging problema sa ruta ang kombinasyong iyon: inilagay ng Windows ang subnet ng VPN adapter sa Pampublikong profile, at wala sa alinmang panuntunang nagpapahintulot na isinulat para sa Pribado o Domain ang naipatupad. Naranasan ko ito sa mga laptop na nakakaabot sa opisina nang maayos at sa mga RRAS server na naglilingkod sa lahat ng ibang kliyente, at maikli ang pag-aayos kapag pinangalanan mo ang profile na kasangkot. Narito ang pagkakasunod-sunod ng trabaho ko, kasama ang pagsusuring magsasabi kung kailan hihinto bago ang susunod na hakbang.

Alamin kung aling profile talaga dumarating ang trapiko

Walang isang pandaigdigang mode ang firewall ng Windows. Bawat nakakonektang interface ay may kategorya, at ang mga papasok na packet ay sinasala ayon sa kategorya ng interface kung saan sila dumarating, kaya profile ng VPN adapter ang nagtatakda kung ano ang maaabot ng kliyente sa tunnel, hindi ang Wi-Fi o Ethernet adapter sa tabi nito. Basahin ang dalawang katotohanan bago baguhin ang anuman:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

Sa karaniwang pag-install ng OpenVPN o WireGuard, lumilitaw ang VPN adapter bilang hindi kilalang network at napupunta sa Pampubliko, na siyang default para sa anumang network na hindi mauri ng Windows: walang domain controller ang sumagot dito at walang profile ng gateway ang tumugma. Walang kinalaman ang pangalan ng interface dito, kaya walang binabago ang pagtawag sa adapter na "VPN" o "Corp". Kailangan ng DomainAuthenticated ang makinang kabilang sa domain , na talagang makakaabot sa isang domain controller sa interface na iyon; ang split tunnel na nagdadala lamang ng isang subnet ay hindi makakatugon doon.

Kung ang panuntunang kailangan mo ay nakatala na sa pool ng VPN at nalalapat na sa kategoryang binasa mo lang, huminto dito: hindi sa iyo ang pag-filter, at ang susunod na titingnan ay ang configuration ng serbisyo. Sampung segundo lang ang pagsusuring iyon at nakakatipid ng isang oras sa pag-edit ng panuntunan. Ang mga pangalan ng kategorya at kung ano ang sakop ng bawat isa ay nakadokumento sa sanggunian ng Get-NetConnectionProfile.

Kumpirmahin ang pag-filter, hindi ang ruta, bago ka mag-edit ng panuntunan

Mahinang pagsubok ang ping. Maaaring dumaan ang ICMP habang itinatapon ang port ng serbisyo, at maaaring sumagot ang host mula sa LAN habang tinatanggihan ang parehong kahilingan sa tunnel. Subukan ang port na kailangan ng kliyente, mula sa kliyente:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Kung mabigo ang pagsubok sa port, paghiwalayin ang dalawang sapin. Ang depekto sa tunnel o ruta ay karaniwang lumilitaw na walang sagot mula sa address ng gateway, habang ang pagtatapon ng firewall ay nagpapakita ng gateway na sumasagot at port ng serbisyo na hindi sumasagot. Sa isang Windows server na naglalathala ng pool sa pamamagitan ng RRAS, patakbuhin ang parehong pagsubok mula sa kliyente at basahin ang sariling profile ng server: ang RAS interface ay maaaring nasa kategoryang hindi kailanman binabanggit ng mga papasok na panuntunan ang saklaw ng kliyente, at iyon ang dahilan kung bakit pinaglilingkuran ng makina ang sarili nitong LAN at tinatanggihan ang bawat kliyente sa tunnel.

Kapag malabo pa rin ang resulta, i-log ang mga pagtatapon para sa profile na kasangkot at basahin ang mga ito:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Ang mga entry na nagbabanggit ng address at port ng kliyente kasama ng DROP ay tiyak, at sinasabi rin nila kung aling panuntunan ang kulang. Ang log na walang laman habang hindi kailanman lumilitaw ang SYN ng kliyente ay tumuturo sa itaas ng host, kaya bumalik sa tunnel, sa panuntunan ng NAT, o sa ruta ng pool bago hawakan ang ibang bagay ng firewall.

Limitahan ang isang papasok na panuntunan sa pool ng kliyente

Ang pag-aayos ay isang papasok na panuntunang nagpapahintulot na ang malayong address ay ang pool, hindi ang buong mundo. Mula sa isang elevated na sesyon:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Kapag ang serbisyo ay isang binary file, mas gusto ang panuntunang nakatala sa program na may -Program kaysa sa listahan ng port; nililimitahan nito ang pagbubukod sa proseso at sa saklaw ng pinagmulan.

Ang pagpili ng profile ang lugar kung saan ginagawa ang parehong pagkakamali sa kabilang direksyon. -Profile Public sapat kapag ang adapter ay Pampubliko at nananatiling Pampubliko. -Profile Any ay mapagtatanggol kapag kailangang gumana ang serbisyo kahit paano uriin ng Windows ang adapter, ngunit hangga't nananatili ang malayong saklaw. Ang hindi kailanman mapagtatanggol ay -RemoteAddress Any sa Pampublikong profile: sinusundan ng panuntunang iyon ang laptop sa bawat network ng café at hotel na pinapasok nito at binubuksan ang port sa sinumang nagbabahagi ng subnet na iyon.

Itala ang pool sa tabi ng panuntunan. -RemoteAddress 10.8.0.0/24 tahimik na tumitigil sa pagtugma sa araw na muling binibilangan ang pool ng VPN, at ang depekto ay kamukhang-kamukha ng orihinal na bug, kaya nagkakahalaga ito ng pangalawang hapon. Pangalanan ang mga panuntunan ayon sa serbisyo at saklaw ng pinagmulan, panatilihin silang magkasama kasama ng -Group, at basahin silang muli sa tuwing magbabago ang depinisyon ng pool. Ang imbentaryo ng panuntunang maaari mong i-audit sa isang screen ay mas mahusay kaysa sa tamang panuntunang walang makahanap.

Baguhin ang kategorya lamang kapag ang kategorya ang desisyon

Gumagana rin ang paglilipat ng interface sa Pribado, at ito ang maling default. Ang Pribadong profile ay may mahabang listahan ng mga built-in na panuntunang nagpapahintulot, na sumasaklaw sa pagbabahagi ng file at printer, pagtuklas ng network, remote desktop at higit pa depende sa baseline, kaya binubuksan ng muling pag-uuri ng VPN adapter ang lahat ng iyon nang sabay para sa bawat kliyente sa tunnel. Ang isang limitadong panuntunan ay nagbibigay ng isang serbisyo sa isang saklaw. Sa isang laptop na pumapasok din sa mga hindi pinagkakatiwalaang network, ang pagkakaibang iyon ay hindi kosmetiko.

May mga kaso kung saan tunay na mali ang pag-uuri: ang laging naka-on o site-to-site na tunnel na nagdadala ng subnet ng opisina ay pinagkakatiwalaang imprastraktura, at ang pagmamarka sa adapter na iyon bilang Pribado ay isang lehitimong desisyon sa disenyo, ginagawa minsan sa pamamagitan ng patakaran at hindi bawat tiket. Kapag ginawa mo ito, gawin itong tahasan:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Sa isang pinamamahalaang device, tingnan muna kung pagmamay-ari ng Group Policy o ng MDM baseline ang setting. Kung oo, binabaligtad ang lokal na pagbabago sa susunod na refresh, at gpresult /h sasabihin ng pangalan ang patakarang nagmamay-ari nito; ayusin ito doon, hindi sa endpoint.

I-verify mula sa magkabilang dulo at mag-iwan ng bakas

I-verify ang daloy na iniulat ng user, mula sa kliyente, pagkatapos ng pagbabago:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Pagkatapos ay isara ang loop sa mga bagay na masisira sa susunod na linggo. I-restart ang host at subukan muli, dahil ang panuntunang nakatala sa maling profile ay patuloy na gumagana hanggang sa bumalik ang adapter sa ibang kategorya. Subukan mula sa pangalawang kliyente, dahil ang isang kliyenteng may lumang lease ay maaaring magtago ng pagkakaiba sa pool. Bilangin ang mga panuntunang idinagdag mo laban sa mga inalis mo, dahil ang magkakapatong na pagbubukod ang paraan kung paano nagiging patakaran sa pag-filter na walang makakasuri ang dalawang linyang pag-aayos.

Bago mo sabihing tapos na:

• Ang profile na pinangalanan sa panuntunan ay ang profile sa interface kung saan dumarating ang trapiko.
• Ang malayong saklaw ay ang pool ng VPN, at tumutugma ang pool na iyon sa aktwal na ibinibigay ng server.
• Wala sa mga panuntunang idinagdag mo ang gumagamit ng -RemoteAddress Any sa Pampublikong profile.
• Walang hindi pinagana upang pumasa ang pagsubok, at ang bawat pagbabago ng kategorya ay nagtatala kung sino ang nag-apruba nito.