Vì sao bộ điều hợp VPN của bạn vẫn ở hồ sơ tường lửa công cộng

Đường hầm đang hoạt động, tài khoản đã được xác thực với miền, và Windows vẫn gắn nhãn kết nối là công cộng. Vì thế một quy tắc tường lửa viết cho hồ sơ miền không được áp dụng, và chia sẻ tệp vẫn không thể truy cập. Cách sửa thường gặp là đặt bộ điều hợp sang riêng tư, điều này thay đổi những quy tắc nào có hiệu lực mà không thay đổi gì về xác thực. Cả nhãn lẫn cách sửa đều bị hiểu sai phổ biến, và việc tách chúng ra cần ba lệnh.

Tài khoản đã kết nối không phải là hạng mục của mạng

Trong một kết nối VPN có hai quyết định khác nhau được đưa ra và rất dễ nhầm lẫn chúng. Cổng vào quyết định tài khoản có được kết nối hay không. Windows quyết định cách phân loại mạng thu được, và chính cách phân loại đó quyết định những quy tắc tường lửa nào áp dụng cho giao diện.

Xác thực miền thành công tại cổng vào là bằng chứng về tài khoản. Đó không phải bằng chứng rằng điểm cuối đã xác thực mạng với bộ điều khiển miền, và đó chính là điều mà hạng mục miền thể hiện.

Đó là lý do một máy có thể đã tham gia miền, kết nối bằng tài khoản miền mà vẫn hiển thị công cộng. Việc phân loại là một xác định cục bộ về mạng, không phải tuyên bố về thông tin xác thực đã mở đường hầm. Tài khoản có thể hoàn toàn hợp lệ trong khi nhãn vẫn ở chỗ nó bắt đầu.

Ba hạng mục, một trong số đó bạn không thể đặt

Windows cung cấp ba hạng mục và chỉ hai trong số đó có thể được quản trị viên gán. Hạng mục thứ ba do hệ điều hành quyết định sau khi xác thực mạng thành công với bộ điều khiển miền.

Get-NetConnectionProfile | Select-Object Name,InterfaceAlias,NetworkCategory,IPv4Connectivity
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory Private
Set-NetConnectionProfile -InterfaceAlias 'Corp VPN' -NetworkCategory DomainAuthenticated

Lệnh thứ ba thất bại, và đó là hành vi được ghi nhận chứ không phải vấn đề quyền hạn. Tài liệu tham chiếu của chính lệnh nêu rằng hạng mục miền không thể gán theo cách này, vì Windows suy ra nó từ xác thực miền. Nhìn thấy lỗi là một xác nhận hữu ích rằng hạng mục là hệ quả chứ không phải thiết lập.

Hãy đọc lệnh đầu tiên trên điểm cuối có lưu lượng bị chặn. Phân loại giao diện của chính cổng vào không cho bạn biết gì về cách mỗi trạm làm việc kết nối đã phân loại đường hầm của nó.

Quy tắc tuân theo hồ sơ mà chúng được viết cho

Khi đã biết hạng mục, việc thiếu quyền truy cập thường tự giải thích. Mỗi quy tắc của Windows Firewall mang một phạm vi hồ sơ, và một quy tắc giới hạn ở miền không áp dụng khi giao diện là công cộng. Ba lệnh biến điều đó thành câu trả lời chứ không phải lý thuyết, và lệnh thứ ba bắt được trường hợp hồ sơ chưa bao giờ là vấn đề:

(Get-NetFirewallRule -DisplayName 'Allow File Share').Profile
Get-NetFirewallRule -DisplayName 'Allow File Share' | Get-NetFirewallAddressFilter
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Lệnh thứ hai là lệnh biến một báo cáo mơ hồ thành bản sửa. Nếu quy tắc bị giới hạn ở một dải địa chỉ từ xa không bao gồm nhóm VPN, việc đổi hồ sơ cũng không giúp gì.

Cũng hãy kiểm tra hành động đầu vào mặc định. Trên một máy có lưu lượng vào bị chặn theo mặc định, một quy tắc cho phép bị thiếu tạo ra sự im lặng thay vì từ chối. Từ phía máy khách, điều đó trông giống hệt một lỗi định tuyến, và đó là lý do rất nhiều phiếu hỗ trợ như vậy bắt đầu bằng giả định sai.

Xác định máy nào đang áp đặt quy tắc

Trước khi đổi hạng mục, hãy xác lập nơi chặn đang diễn ra. Máy chủ lưu trữ chia sẻ có thể có tường lửa riêng, và các quy tắc của nó áp dụng cho lưu lượng đến từ nhóm VPN bất kể máy khách đã gắn nhãn bộ điều hợp của mình thế nào. Một từ chối ở đó là vô hình với mọi lệnh cục bộ bạn chạy, và phía máy khách chỉ báo rằng tài nguyên không khả dụng. Hãy kiểm tra các quy tắc của chính đích trước khi chạm vào phân loại của máy khách.

Hãy kiểm tra từ máy khách đến cổng cụ thể, rồi so sánh với kiểm tra từ một máy chủ khác trên cùng VPN. Nếu cả hai đều thất bại, vấn đề ở đích hoặc trên đường đi. Nếu chỉ một thất bại, khác biệt là cục bộ ở máy đó, và hạng mục hồ sơ trở thành nguyên nhân khả dĩ.

Cũng hãy nhớ đến hướng. Một quy tắc cho phép SMB vào không làm gì cho máy khách mà quy tắc ra của chính nó chặn cùng lưu lượng. Từ cửa sổ trình duyệt tệp, hai lỗi không thể phân biệt, nên hãy kiểm tra từng hướng riêng trước khi sửa bất cứ thứ gì.

Nên làm gì thay vì gắn nhãn lại mọi thứ

Đặt một mạng không xác định thành riêng tư để thỏa mãn một quy tắc rộng là một thay đổi thực sự với hậu quả thực sự. Hồ sơ riêng tư thường cho phép nhiều khám phá và nhiều lưu lượng vào hơn hồ sơ công cộng.

Nếu mục tiêu là để một dịch vụ cụ thể tiếp cận các máy khách VPN, hãy giới hạn quy tắc theo địa chỉ từ xa thay vì theo hồ sơ. Điều đó diễn đạt ý định một cách chính xác, hoạt động bất kể phân loại, và không phụ thuộc vào việc Windows đoán đúng về một bộ điều hợp ảo. Nó cũng chịu được một bản cập nhật máy khách phân loại lại giao diện. Hãy ghi nhóm vào quy tắc và người tiếp theo có thể đọc ý định mà không cần hỏi.

Nếu hạng mục miền thực sự được mong đợi mà không bao giờ xuất hiện, đó là một cuộc điều tra riêng. Hãy kiểm tra rằng máy đã tham gia miền, có thể đến được bộ điều khiển miền qua đường hầm, và kênh bảo mật đang khỏe mạnh. Ba lệnh đó trả lời điều này mà không cần một chỉnh sửa sổ đăng ký nào:

Get-CimInstance Win32_ComputerSystem | Select-Object PartOfDomain,Domain
Test-ComputerSecureChannel -Verbose
nltest /dsgetdc:corp.example.com

Ba lệnh đó trả lời liệu điểm cuối có thể xác thực mạng hay không. Nếu nó không thể đến được bộ điều khiển, hạng mục miền sẽ không bao giờ được gán, dù đặt lại bộ điều hợp bao nhiêu lần. Quy tắc tường lửa mà bạn đang đuổi theo chưa bao giờ là vấn đề thật, và nhãn là triệu chứng của một đường đi bị hỏng chứ không phải nguyên nhân.