VPN mijozlari Windows umumiy xavfsizlik devori profili tomonidan bloklanadi

Tunnelingiz ishlayapti, shlyuz pingga javob beradi, fayl almashish esa hali ham vaqt tugashi bilan yakunlanadi. Bu birikma kamdan-kam hollarda marshrutlash muammosi bo'ladi: Windows VPN adapterining quyi tarmog'ini Umumiy profilga joylashtirgan va Xususiy yoki Domen profili uchun yozilgan har bir ruxsat qoidasi hech qachon qo'llanmagan. Men bu bilan ofisga muammosiz yetib boradigan noutbuklarda ham, boshqa barcha mijozlarga xizmat ko'rsatadigan RRAS serverlarida ham uchrashganman, va tegishli profilni nomlaganingizdan keyin tuzatish qisqa. Mana, men ishlaydigan tartib, keyingi qadamdan oldin qachon to'xtashni aytadigan tekshiruv bilan birga.

Trafik aslida qaysi profil orqali kelishini aniqlang

Windows xavfsizlik devorining bitta global rejimi yo'q. Har bir ulangan interfeys kategoriyaga ega va kiruvchi paketlar keladigan interfeys kategoriyasiga ko'ra filtrlanadi, shuning uchun tunnel ichidagi mijoz nimaga yeta olishini VPN adapterining profili hal qiladi, yonidagi Wi-Fi yoki Ethernet adapteri emas. Biror narsani o'zgartirishdan oldin ikkala faktni o'qing:

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled, DefaultInboundAction

Odatiy OpenVPN yoki WireGuard o'rnatilishida VPN adapteri noma'lum tarmoq sifatida ko'rinadi va Umumiy profilga tushadi, bu Windows tasniflay olmaydigan har qanday tarmoq uchun standart qiymat: u orqali hech qanday domen boshqaruvchisi javob bermadi va hech qanday shlyuz profili mos kelmadi. Interfeys nomi bu yerda muhim emas, shuning uchun adapterni «VPN» yoki «Corp» deb atash hech narsani o'zgartirmaydi. DomainAuthenticated domenga ulangan mashinani talab qiladi , u shu interfeys orqali domen boshqaruvchisiga haqiqatan yeta oladi; faqat bitta quyi tarmoqni tashuvchi bo'lingan tunnel bu talabni qondirmaydi.

Agar kerakli qoida allaqachon VPN hovuziga cheklangan bo'lsa va siz hozir o'qigan kategoriyaga allaqachon qo'llanilsa, shu yerda to'xtang: filtrlash sizning qatlamingiz emas va keyingi qarash joyi xizmat konfiguratsiyasi. Bu tekshiruv o'n soniya oladi va bir soat qoida tahrirlashni tejaydi. Kategoriya nomlari va har biri nimani qamrab olishi Get-NetConnectionProfile ma'lumotnomasida hujjatlashtirilgan.

Qoidalarni tahrirlashdan oldin filtrlashni, marshrutlashni emas, tasdiqlang

Ping zaif sinov. Xizmat porti tashlab yuborilayotganda ICMP o'tishi mumkin, va xost LANdan javob berib, xuddi shu so'rovni tunnel orqali rad etishi mumkin. Mijozga kerak bo'lgan portni mijozning o'zidan sinab ko'ring:

Test-NetConnection 10.8.0.1 -Port 445
Test-NetConnection 10.8.0.1 -Port 3389 -InformationLevel Detailed

Port sinovi muvaffaqiyatsiz bo'lsa, ikki qatlamni ajrating. Tunnel yoki marshrut nosozligi odatda shlyuz manzilidan umuman javob kelmasligi ko'rinishida bo'ladi, xavfsizlik devori tashlashi esa javob beradigan shlyuz va javob bermaydigan xizmat portini ko'rsatadi. Hovuzni RRAS orqali e'lon qiladigan Windows serverida xuddi shu sinovni mijozdan o'tkazing va serverning o'z profilini o'qing: RAS interfeysi kiruvchi qoidalari mijoz diapazonini hech qachon eslatmaydigan kategoriyada bo'lishi mumkin, shuning uchun mashina o'z LANiga xizmat qiladi va tunneldagi har bir mijozni rad etadi.

Natija hali ham noaniq bo'lsa, tegishli profil uchun tashlashlarni jurnalga yozing va ularni o'qing:

Set-NetFirewallProfile -Name Public -LogBlocked True `
  -LogFileName "$env:systemroot\system32\LogFiles\Firewall\pfirewall.log"

Mijoz manzili va portini DROP bilan ko'rsatuvchi yozuvlar hal qiluvchi bo'lib, qaysi qoida yetishmayotganini ham aytadi. Ichida hech narsa yo'q jurnal, mijozning SYN si hech qachon ko'rinmasa, xostdan yuqoriga ishora qiladi, shuning uchun boshqa xavfsizlik devori obyektiga tegishdan oldin tunnelga, NAT qoidasiga yoki hovuz marshrutiga qayting.

Bitta kiruvchi qoidani mijoz hovuziga cheklang

Tuzatish — masofaviy manzili dunyo emas, hovuz bo'lgan bitta kiruvchi ruxsat qoidasi. Ko'tarilgan seansdan:

New-NetFirewallRule -DisplayName "VPN clients - SMB 445" `
  -Direction Inbound -Action Allow -Protocol TCP -LocalPort 445 `
  -RemoteAddress 10.8.0.0/24 -Profile Public

Xizmat bitta ikkilik fayl bo'lsa, portlar ro'yxati o'rniga -Program parametri bilan dasturga cheklangan qoidani afzal ko'ring; bu istisnoni ham jarayonga, ham manba diapazoniga cheklaydi.

Profil tanlovi — xuddi shu xato qarama-qarshi yo'nalishda qilinadigan joy. -Profile Public adapter Umumiy bo'lsa va Umumiy bo'lib qolsa, yetarli. -Profile Any xizmat Windows adapterni qanday tasniflashidan qat'i nazar ishlashi kerak bo'lsa oqlanadi, lekin masofaviy qamrov saqlanib turgandagina. Hech qachon oqlanmaydigan narsa — -RemoteAddress Any Umumiy profilda: bu qoida noutbukni u ulanadigan har bir kafe va mehmonxona tarmog'iga kuzatib boradi va portni o'sha quyi tarmoqni bo'lishadigan har kimga ochadi.

Hovuzni qoida yoniga yozib qo'ying. -RemoteAddress 10.8.0.0/24 VPN hovuzi qayta raqamlangan kuni jimgina mos kelishni to'xtatadi va nosozlik aynan dastlabki xatoga o'xshaydi, shuning uchun ikkinchi tushdan keyin vaqtni oladi. Qoidalarni xizmat va manba diapazoni bo'yicha nomlang, ularni -Group bilan birga saqlang va hovuz ta'rifi o'zgarganda ularni qayta o'qing. Bitta ekranda tekshirishingiz mumkin bo'lgan qoidalar ro'yxati hech kim topa olmaydigan to'g'ri qoidadan afzal.

Kategoriyani faqat kategoriya qaror bo'lganda o'zgartiring

Interfeysni Xususiyga o'tkazish ham ishlaydi va bu noto'g'ri standart. Xususiy profil fayl va printer almashish, tarmoqni aniqlash, masofaviy ish stoli va bazaga qarab yana ko'p narsani qamrab oluvchi o'rnatilgan ruxsat qoidalarining uzun ro'yxatini olib yuradi, shuning uchun VPN adapterini qayta tasniflash ularning barchasini tunneldagi har bir mijoz uchun birdaniga yoqadi. Bitta cheklangan qoida bitta xizmatni bitta diapazonga beradi. Ishonchsiz tarmoqlarga ham ulanadigan noutbukda bu farq kosmetik emas.

Tasniflash haqiqatan noto'g'ri bo'lgan holatlar bor: ofis quyi tarmog'ini tashuvchi doimo yoniq yoki saytlararo tunnel ishonchli infratuzilmadir va bu adapterni Xususiy deb belgilash qonuniy dizayn qarori bo'lib, siyosat bilan bir marta qabul qilinadi, har bir so'rov bo'yicha emas. Buni qilganingizda, aniq qiling:

Set-NetConnectionProfile -InterfaceAlias "OpenVPN TAP-Windows6" -NetworkCategory Private

Boshqariladigan qurilmada avval sozlama guruh siyosati yoki MDM baza chizig'iga tegishli yoki yo'qligini tekshiring. Tegishli bo'lsa, mahalliy o'zgarish keyingi yangilanishda bekor qilinadi va gpresult /h unga tegishli siyosatni nomlaydi; uni o'sha yerda tuzating, oxirgi nuqtada emas.

Ikki tomondan tekshiring va iz qoldiring

Foydalanuvchi xabar qilgan oqimni mijozdan, o'zgarishdan keyin tekshiring:

Test-NetConnection 10.8.0.1 -Port 445
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallAddressFilter | Select-Object RemoteAddress
Get-NetFirewallRule -DisplayName "VPN clients - SMB 445" | Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort

Keyin keyingi haftada buziladigan narsalar bo'yicha tsiklni yoping. Xostni qayta ishga tushiring va qayta sinab ko'ring, chunki noto'g'ri profilga cheklangan qoida adapter boshqa kategoriyada qaytib kelguncha ishlashda davom etadi. Ikkinchi mijozdan sinab ko'ring, chunki eskirgan ijara bilan bitta mijoz hovuz nomuvofiqligini yashirishi mumkin. Qo'shgan qoidalaringizni olib tashlaganlaringiz bilan solishtiring, chunki bir-biriga o'xshash istisnolar ikki qatorli tuzatishning hech kim ko'rib chiqa olmaydigan filtrlash siyosatiga aylanish yo'lidir.

Buni tugagan deb e'lon qilishdan oldin:

• Qoidada nomlangan profil — trafik keladigan interfeysning profili.
• Masofaviy qamrov — VPN hovuzi va bu hovuz server haqiqatan beradigan narsaga mos keladi.
• Siz qo'shgan hech bir qoida -RemoteAddress Any Umumiy profilda ishlatmaydi.
• Sinov o'tishi uchun hech narsa o'chirilmadi va har bir kategoriya o'zgarishi uni kim tasdiqlaganini yozadi.