آپ کا VPN اڈاپٹر عوامی فائر وال پروفائل پر کیوں رہتا ہے
ڈومین میں سائن اِن کرنا نیٹ ورک کو ڈومین کے طور پر درجہ بند نہیں کرتا، اور نجی کوئی متبادل نہیں ہے۔ پہلے قاعدے کا پروفائل پڑھیں، پھر وہ مشین جو اسے نافذ کرتی ہے۔
ٹنل فعال ہے، اکاؤنٹ ڈومین کے ساتھ تصدیق شدہ ہے، پھر بھی Windows کنکشن کو عوامی قرار دیتا ہے۔ اس لیے ڈومین پروفائل کے لیے لکھا گیا فائر وال قاعدہ لاگو نہیں ہوتا، اور فائل شیئرنگ ناقابل رسائی رہتی ہے۔ عام طور پر درست کرنے کی کوشش اڈاپٹر کو نجی پر سیٹ کرنا ہے، جو یہ بدلتا ہے کہ کون سے قواعد لاگو ہوں گے، مگر تصدیق میں کچھ نہیں بدلتا۔ لیبل اور ترمیم دونوں کو بڑے پیمانے پر غلط سمجھا جاتا ہے، اور انہیں الگ کرنے کے لیے تین کمانڈیں درکار ہیں۔
جڑنے والا اکاؤنٹ نیٹ ورک کا زمرہ نہیں ہے
VPN کنکشن کے دوران دو مختلف فیصلے کیے جاتے ہیں اور انہیں ملانا آسان ہے۔ گیٹ وے فیصلہ کرتا ہے کہ اکاؤنٹ جڑ سکتا ہے یا نہیں۔ Windows فیصلہ کرتا ہے کہ نتیجے میں بننے والے نیٹ ورک کو کیسے درجہ بند کیا جائے، اور یہی درجہ بندی طے کرتی ہے کہ انٹرفیس پر کون سے فائر وال قواعد لاگو ہوں گے۔
گیٹ وے پر کامیاب ڈومین تصدیق اکاؤنٹ کے بارے میں ثبوت ہے۔ یہ اس بات کا ثبوت نہیں کہ اینڈ پوائنٹ نے نیٹ ورک کو ڈومین کنٹرولر کے سامنے تصدیق کیا، اور ڈومین زمرہ بالکل یہی ظاہر کرتا ہے۔
اسی لیے ایک مشین ڈومین میں شامل ہو سکتی ہے، ڈومین اکاؤنٹ سے جڑ سکتی ہے، اور پھر بھی عوامی دکھا سکتی ہے۔ درجہ بندی نیٹ ورک کے بارے میں مقامی فیصلہ ہے، ٹنل کھولنے والے اسناد کے بارے میں بیان نہیں۔ اکاؤنٹ مکمل طور پر درست ہو سکتا ہے جبکہ لیبل وہیں رہتا ہے جہاں سے شروع ہوا تھا۔
تین زمرے، جن میں سے ایک آپ مقرر نہیں کر سکتے
Windows تین زمرے پیش کرتا ہے اور ان میں سے صرف دو ہی منتظم تفویض کر سکتا ہے۔ تیسرا آپریٹنگ سسٹم طے کرتا ہے، نیٹ ورک کو ڈومین کنٹرولر کے سامنے کامیابی سے تصدیق کرنے کے بعد۔
| Category | How it is assigned | What it affects |
|---|---|---|
| Public | Default for unidentified networks, or set manually | Rules scoped to the public profile |
| Private | Set manually, or by the user on a trusted network | Rules scoped to the private profile |
| DomainAuthenticated | Determined by Windows after domain authentication | Rules scoped to the domain profile |
Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticatedتیسری کمانڈ ناکام ہوتی ہے، اور یہ دستاویزی رویہ ہے، اجازت کا مسئلہ نہیں۔ کمانڈ کا اپنا حوالہ بتاتا ہے کہ ڈومین زمرہ اس طرح تفویض نہیں کیا جا سکتا، کیونکہ Windows اسے ڈومین تصدیق سے اخذ کرتا ہے۔ غلطی دیکھنا اس بات کی مفید تصدیق ہے کہ زمرہ نتیجہ ہے، ترتیب نہیں۔
پہلی کمانڈ اس اینڈ پوائنٹ پر پڑھیں جس کی ٹریفک مسدود ہے۔ گیٹ وے کے اپنے انٹرفیس کی درجہ بندی آپ کو اس بارے میں کچھ نہیں بتاتی کہ ہر جڑنے والا ورک سٹیشن اپنے ٹنل کو کیسے درجہ بند کرتا ہے۔
قواعد اسی پروفائل کی پیروی کرتے ہیں جس کے لیے لکھے گئے
زمرہ جاننے کے بعد، غائب رسائی عموماً خود واضح ہو جاتی ہے۔ ہر Windows Firewall قاعدے کی پروفائل حد ہوتی ہے، اور ڈومین تک محدود قاعدہ اس وقت لاگو نہیں ہوتا جب انٹرفیس عوامی ہو۔ تین کمانڈیں اسے نظریے کے بجائے جواب بناتی ہیں، اور تیسری وہ صورت پکڑتی ہے جہاں پروفائل کبھی مسئلہ نہیں تھا:
(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundActionدوسری کمانڈ وہ ہے جو مبہم رپورٹ کو ترمیم میں بدلتی ہے۔ اگر قاعدہ دور دراز پتوں کی ایسی حد تک محدود ہو جس میں VPN پول شامل نہ ہو، تو پروفائل بدلنے سے بھی مدد نہیں ملے گی۔
ڈیفالٹ اِن باؤنڈ عمل بھی دیکھیں۔ جس مشین پر اِن باؤنڈ ڈیفالٹ طور پر مسدود ہو، وہاں غائب اجازت قاعدہ مسترد ہونے کے بجائے خاموشی پیدا کرتا ہے۔ کلائنٹ کی طرف سے یہ راؤٹنگ ناکامی جیسا ہی دکھتا ہے، اور اسی لیے ان میں سے بہت سے ٹکٹ غلط مفروضے سے شروع ہوتے ہیں۔
مقرر کریں کہ کون سی مشین قاعدہ نافذ کرتی ہے
زمرہ بدلنے سے پہلے طے کریں کہ رکاوٹ کہاں ہو رہی ہے۔ شیئرنگ کی میزبانی کرنے والے سرور کا اپنا فائر وال ہو سکتا ہے، اور اس کے قواعد VPN پول سے آنے والی ٹریفک پر لاگو ہوتے ہیں، چاہے کلائنٹ نے اپنے اڈاپٹر کو کیا نام دیا ہو۔ وہاں کا انکار آپ کی چلائی گئی کسی بھی مقامی کمانڈ کو نظر نہیں آتا، اور کلائنٹ کی طرف صرف یہ بتایا جاتا ہے کہ وسیلہ دستیاب نہیں۔ کلائنٹ کی درجہ بندی کو چھونے سے پہلے منزل کے اپنے قواعد جانچیں۔
کلائنٹ سے مخصوص پورٹ تک جانچیں، پھر اسی VPN پر کسی اور میزبان کی جانچ سے موازنہ کریں۔ اگر دونوں ناکام ہوں، مسئلہ منزل پر یا راستے میں ہے۔ اگر صرف ایک ناکام ہو، فرق اسی مشین کا مقامی ہے، اور پروفائل زمرہ ممکنہ وجہ بن جاتا ہے۔
سمت بھی یاد رکھیں۔ اِن باؤنڈ SMB کی اجازت دینے والا قاعدہ ایسے کلائنٹ کے لیے کچھ نہیں کرتا جس کا اپنا آؤٹ باؤنڈ قاعدہ وہی ٹریفک مسدود کرتا ہے۔ فائل ایکسپلورر کی ونڈو سے دونوں ناکامیاں الگ نہیں کی جا سکتیں، اس لیے کچھ بھی ترمیم کرنے سے پہلے ہر سمت الگ جانچیں۔
سب کچھ دوبارہ لیبل کرنے کے بجائے کیا کریں
وسیع قاعدے کو پورا کرنے کے لیے نامعلوم نیٹ ورک کو نجی بنانا حقیقی نتائج والی حقیقی تبدیلی ہے۔ نجی پروفائل عام طور پر عوامی سے زیادہ دریافت اور زیادہ اِن باؤنڈ ٹریفک کی اجازت دیتا ہے۔
اگر مقصد کسی مخصوص سروس کو VPN کلائنٹس تک پہنچانا ہے، تو قاعدے کو پروفائل کے بجائے دور دراز پتے سے محدود کریں۔ یہ ارادے کو درست طریقے سے بیان کرتا ہے، درجہ بندی سے قطع نظر کام کرتا ہے، اور اس بات پر منحصر نہیں کہ Windows مجازی اڈاپٹر کے بارے میں درست اندازہ لگائے۔ یہ انٹرفیس کو دوبارہ درجہ بند کرنے والے کلائنٹ اپ ڈیٹ سے بھی بچ جاتا ہے۔ پول کو قاعدے میں لکھیں اور اگلا شخص بغیر پوچھے ارادہ پڑھ سکے گا۔
اگر ڈومین زمرہ واقعی متوقع ہے اور کبھی ظاہر نہیں ہوتا، تو یہ الگ تفتیش ہے۔ جانچیں کہ مشین ڈومین میں شامل ہے، ٹنل کے ذریعے ڈومین کنٹرولر تک پہنچ سکتی ہے، اور محفوظ چینل صحت مند ہے۔ وہ تین کمانڈیں ایک بھی رجسٹری ترمیم کے بغیر جواب دیتی ہیں:
Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.comوہ تین بتاتی ہیں کہ اینڈ پوائنٹ نیٹ ورک کی تصدیق کر ہی سکتا تھا یا نہیں۔ اگر وہ کنٹرولر تک نہیں پہنچ سکتا، تو اڈاپٹر کتنی ہی بار ری سیٹ ہو، ڈومین زمرہ کبھی تفویض نہیں ہوگا۔ جس فائر وال قاعدے کا آپ پیچھا کر رہے تھے وہ کبھی اصل مسئلہ نہ تھا، اور لیبل وجہ نہیں بلکہ ٹوٹے راستے کی علامت تھا۔