Зміна мережевого профілю Windows з "DomainAuthentication" на "Public"

У мене домен приєднався до вікна Windows Server 2012 R2, на якому встановлено клієнтське програмне забезпечення OpenVPN 2.3.13. Коли активне VPN-з'єднання, з'єднання "Ethernet 2" (інтерфейс TAP) розміщується в категорії доменних мереж поряд з основним NIC LAN від NLA. В ідеалі я хочу мати можливість присвоїти інтерфейс VPN категорії "Громадський". Я пробував через PowerShell, але постійно отримую цю помилку:

Неможливо встановити категорію Network через одну з наступних можливих причин: не працює PowerShell підвищено; мережеву категорію не можна змінити з "DomainAuthentication"; Ініційовані користувачем зміни в NetworkCategory запобігаються завдяки налаштуванню групової політики "Політики мережевого списку". У рядку: 1 char: 1 + Set-NetConnectionProfile -InterfaceIndex 15 -NetworkCategory Public + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ CategoryInfo: PermissionDenied: (MSFT_NetConnect ... 72AADA665483} "): root / StandardCi ... nnectionProfile) [Set-NetConnectionProfile], CimException + FullyQualifiedErrorId: MI RESULT 2, Set-NetConnectionProfile

15 - номер інтерфейсу "Ethernet 2"

Варто зауважити, я запускаю цю команду на підвищеному сеансі PowerShell і чи я спробував усі доступні політики GPO, але помилка постійно кидається. Більшість інформації про NLA пропонують переключитися між приватним та загальнодоступним, але DomainAuthenicated здається дещо іншим.

Метод реєстру не має фактичного профілю для Ethernet 2, тому його також неможливо змінити.

Чи потрібно змусити адаптер TAP бути загальнодоступним? Підключення OpenVPN саме по собі не скасовує шлюз за замовчуванням основної NIC і використовує підмережу 10.0.0.0/8. Те, що я використовую route-nopullі переосмислюю маршрути, може бути частиною проблеми з тим, як NLA визначає мережі.

Ethernet adapter Ethernet 2:

Connection-specific DNS Suffix  . :
Link-local IPv6 Address . . . . . : fe80::xxxx:xxxx:xxxx:xxxx%xx
IPv4 Address. . . . . . . . . . . : 10.xx.xx.xx
Subnet Mask . . . . . . . . . . . : 255.255.255.252
Default Gateway . . . . . . . . . :

Основна причина необхідності призначати загальнодоступний профіль - це правила брандмауера, у мене виникають проблеми з тим, щоб певні програми не використовували лише інтерфейс VPN, а можливість записувати правила брандмауера на основі мережевих профілів в цьому випадку найкраще працює, я намагався правила написання на основі локальної IP-адреси, але це не спрацювало.

— Джеймс Уайт
джерело

user initiated changes to NetworkCategory are being prevented due to the Group Policy setting 'Network List Manager Policies

- Це, мабуть, означає, що ініційовані користувачем зміни запобігаються груповою політикою. Щоб дозволити зміни, ініційовані користувачем, тоді потрібно налаштувати групову групу, щоб це дозволило. Ви знаходили доменний GP, де це налаштовано?

— joeqwerty

@joeqwerty Я вивчив локальну та доменну групу в розділі «Конфігурація комп’ютера / Налаштування Windows / Налаштування безпеки / Політика мережевого списку», жодна з настройок не дозволяє змінити.

— Джеймс Уайт

Здається, у вашому підвищеному обліковому записі відсутнє право змінити мережеву категорію. Вам може знадобитися додати це або зняти / послабити обмеження на нього. technet.microsoft.com/en-us/library/jj966256(v=ws.11).aspx . Але це здається, що ви можете встановлювати об’єкти дозволів користувача лише для "невстановлених" мереж.

— Xalorous

Крім того,

When the VPN connection is active the "Ethernet 2" (TAP interface) connection is placed into the Domain Network category alongside the main LAN NIC by NLA.

чи не в цьому суть VPN? Якщо ви хочете збільшити безпеку для користувачів VPN, встановіть їх налаштування вище в DomainAuthenticatedкатегорії і навіть вище в Public.

— Xalorous

Я спробував змінити те, що GPO не дозволяє зміни все-таки як локально, так і через доменну політику та працює. gpupdate /forceЯ не можу обійти цю помилку, незалежно від налаштувань, які я змінюю.

— Джеймс Вайт

Відповіді:

Нижче буде використано WMI / CIM.

get-ciminstance -Namespace root/StandardCimv2 -ClassName MSFT_NetConnectionProfile -Filter "interfacealias='Ethernet 2'" | set-ciminstance -property @{NetworkCategory="1"}

— Тім Хайнц
джерело

Вибачте, я отримав таку ж помилку. Це помилка, якщо ви спробуєте встановити її на DomainAuthentication.

— Тім Хайнц

Set-CimInstance: не вдається встановити NetworkCategory на "DomainAuthentication". Цей тип NetworkCategory буде встановлений автоматично при автентифікації в доменній мережі. У рядку: 1 char: 124 + ... lias = 'Ethernet 2' "| Set-CimInstance -Property @ {NetworkCategory = '2'} + ~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ + CategoryInfo: InvalidArgument: (MSFT_NetConnect ... 5A09504828DA} "): CimInstance) [Set -C імперсант], CimException + FullyQualifiedErrorId: MI RESULT 4, Microsoft.Management.Infrastructure.CimCmdlets.SetCimInstan ceCommand

— Тім Хайнц

На жаль, я все одно отримую ту ж помилку щодо політики домену, що блокує зміни, оскільки я працюю як PowerShell Admin, як і раніше. У цьому випадку я намагаюся перемістити Ethernet 2 від встановлення до DomainAuthenicated, але, схоже, у моєму випадку це вимушено і не може бути змінено.

— Джеймс Уайт

@Pandorica, як ви згадували, виявляється, що коли ви приєднаєтесь до домену, мережева категорія заблокована в DomainAuthentication.

— Тім Хайнц

Я також натрапив на цю статтю в своїх пошуках. Однак у більшості випадків це здається зворотним до того, що я намагаюся досягти, переходячи з замість до DomainAuthenicated. Мені, можливо, доведеться прийняти його, ймовірно, не можливо.

— Джеймс Вайт

Видалення адрес адаптера "public" зі списку адрес прослуховування вашого DNS-сервера дозволить зробити це.

— Еду Шол
джерело

Перегляньте третій варіант "Використання брандмауера" на цій сторінці: https://evansblog.thebarrs.info/2013/02/windows-server-force-your-network.html

Ви можете запобігти мережевий профіль DomainAuthentication, використовуючи брандмауер Windows, щоб створити правило для виходу для блокування служби Windows "Поінформованість про мережеве розташування". Обов’язково вкажіть у правилі локальний IP адаптера VPN, щоб він не впливав на інші адаптери. Тепер адаптер VPN повинен бути віднесений до "загальнодоступного" профілю мережі.

— user474264
джерело