VPN bağdaştırıcınız neden genel güvenlik duvarı profilinde kalır

Tünel açık, hesap etki alanında kimlik doğrulamasından geçti ve Windows bağlantıyı hâlâ genel olarak etiketliyor. Bu yüzden etki alanı profili için yazılmış bir güvenlik duvarı kuralı uygulanmaz ve dosya paylaşımı erişilemez kalır. Olağan düzeltme girişimi bağdaştırıcıyı özel olarak ayarlamaktır; bu, hangi kuralların geçerli olduğunu değiştirir ama kimlik doğrulamada hiçbir şeyi değiştirmez. Hem etiket hem de düzeltme yaygın olarak yanlış anlaşılır ve onları ayırmak üç komut gerektirir.

Bağlanan hesap ağın kategorisi değildir

Bir VPN bağlantısı sırasında iki farklı karar verilir ve bunları karıştırmak kolaydır. Ağ geçidi hesabın bağlanıp bağlanamayacağına karar verir. Windows ise ortaya çıkan ağın nasıl sınıflandırılacağına karar verir ve bu sınıflandırma arayüze hangi güvenlik duvarı kurallarının uygulanacağını belirler.

Ağ geçidinde başarılı bir etki alanı kimlik doğrulaması hesap hakkında bir kanıttır. Uç noktanın ağı bir etki alanı denetleyicisine karşı doğruladığının kanıtı değildir ve etki alanı kategorisinin temsil ettiği şey tam olarak budur.

Bu yüzden bir makine etki alanına katılmış olabilir, etki alanı hesabıyla bağlanabilir ve yine de genel görünebilir. Sınıflandırma ağ hakkında yerel bir belirlemedir, tüneli açan kimlik bilgileri hakkında bir ifade değildir. Hesap tamamen geçerli olabilirken etiket başladığı yerde kalır.

Üç kategori, biri sizin ayarlayamadığınız

Windows üç kategori sunar ve bunlardan yalnızca ikisi bir yönetici tarafından atanabilir. Üçüncüsüne işletim sistemi, ağı bir etki alanı denetleyicisine karşı başarıyla doğruladıktan sonra karar verir.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Üçüncü komut başarısız olur ve bu belgelenmiş davranıştır, izin sorunu değildir. Komutun kendi başvurusu, etki alanı kategorisinin bu şekilde atanamayacağını belirtir, çünkü Windows onu etki alanı kimlik doğrulamasından türetir. Hatayı görmek, kategorinin bir ayar değil sonuç olduğuna dair yararlı bir doğrulamadır.

İlk komutu trafiği engellenen uç noktada okuyun. Ağ geçidinin kendi arayüz sınıflandırması, bağlanan her iş istasyonunun kendi tünelini nasıl sınıflandırdığı hakkında size hiçbir şey söylemez.

Kurallar yazıldıkları profili izler

Kategoriyi bildiğinizde, eksik erişim genellikle kendini açıklar. Her Windows güvenlik duvarı kuralı bir profil kapsamı taşır ve etki alanına sınırlı bir kural, arayüz genelken geçerli olmaz. Üç komut bunu bir teori değil yanıt hâline getirir ve üçüncüsü profilin hiç sorun olmadığı durumu yakalar:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

İkinci komut, belirsiz bir raporu düzeltmeye dönüştüren komuttur. Kural, VPN havuzunu içermeyen bir uzak adres aralığına sınırlıysa profili değiştirmek de yardımcı olmaz.

Varsayılan gelen işlemini de denetleyin. Gelen trafiğin varsayılan olarak engellendiği bir makinede, eksik bir izin kuralı ret yerine sessizlik üretir. İstemci tarafından bu, yönlendirme hatasıyla tamamen aynı görünür; bu yüzden bu biletlerin çoğu yanlış varsayımla başlar.

Kuralı hangi makinenin uyguladığını belirleyin

Bir kategoriyi değiştirmeden önce engellemenin nerede olduğunu belirleyin. Paylaşımı barındıran sunucunun kendi güvenlik duvarı olabilir ve kuralları, istemcinin bağdaştırıcısını nasıl etiketlediğinden bağımsız olarak VPN havuzundan gelen trafiğe uygulanır. Oradaki bir ret, çalıştırdığınız hiçbir yerel komutta görünmez ve istemci tarafı yalnızca kaynağın kullanılamadığını bildirir. İstemcinin sınıflandırmasına dokunmadan önce hedefin kendi kurallarını test edin.

İstemciden belirli bağlantı noktasına test edin, ardından aynı VPN'deki başka bir ana bilgisayardan yapılan testle karşılaştırın. İkisi de başarısız olursa sorun hedefte veya yoldadır. Yalnızca biri başarısız olursa fark o makineye özgüdür ve profil kategorisi olası bir neden hâline gelir.

Yönü de unutmayın. Gelen SMB'ye izin veren bir kural, kendi giden kuralı aynı trafiği engelleyen bir istemci için hiçbir şey yapmaz. Bir dosya gezgini penceresinden iki hata ayırt edilemez, bu yüzden herhangi bir şeyi düzenlemeden önce her yönü ayrı ayrı test edin.

Her şeyi yeniden etiketlemek yerine ne yapmalı

Geniş bir kuralı karşılamak için tanımlanmamış bir ağı özel yapmak, gerçek sonuçları olan gerçek bir değişikliktir. Özel profil genellikle genel olandan daha fazla keşfe ve daha fazla gelen trafiğe izin verir.

Amaç belirli bir hizmetin VPN istemcilerine ulaşmasını sağlamaksa, kuralı profile göre değil uzak adrese göre sınırlayın. Bu, niyeti tam olarak ifade eder, sınıflandırmadan bağımsız çalışır ve Windows'un sanal bir bağdaştırıcı hakkında doğru tahmin etmesine bağlı değildir. Arayüzü yeniden sınıflandıran bir istemci güncellemesinden de etkilenmez. Havuzu kurala yazın, sonraki kişi sormadan niyeti okuyabilsin.

Etki alanı kategorisi gerçekten bekleniyorsa ve hiç görünmüyorsa, bu ayrı bir araştırmadır. Makinenin etki alanına katılı olduğunu, tünel üzerinden bir etki alanı denetleyicisine ulaşabildiğini ve güvenli kanalın sağlıklı olduğunu denetleyin. Bu üç komut, tek bir kayıt defteri düzenlemesi olmadan yanıt verir:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Bu üçü, uç noktanın ağı hiç doğrulayıp doğrulayamayacağını yanıtlar. Bir denetleyiciye ulaşamıyorsa, bağdaştırıcı kaç kez sıfırlanırsa sıfırlansın etki alanı kategorisi hiçbir zaman atanmaz. Peşinden gittiğiniz güvenlik duvarı kuralı hiçbir zaman gerçek sorun değildi ve etiket bir neden değil, bozuk bir yolun belirtisiydi.