Windows Server Firewall und das Public Profile

Transkript

1 In letzter Zeit scheint es wohl öfter Probleme mit RDP Verbindungen zu geben. Der Auslöser in diesen Fällen ist, dass die Windows Firewall das Public Profil geladen hat. Die Windows Firewall fordert in einer Domäne eine ordnungsgemäße Erkennung des Netzwerkstandorts an, um fehlerfrei zu funktionieren. Wird keine Domäne erkannt, wechselt die Windows Firewall das Profil von Domäne zu Öffentlich, respektive gelangt der Server nach einem Neustart erst gar nicht ins Domänen Profil und verbleibt im Öffentlichen Profil. Windows benutzt einen Dienst zur Identifizierung der Netzwerkumgebung. Stellt der Dienst fest, das keine Domäne verfügbar ist, egal aus welchen Gründen (Port-Flapping, kein Link, Switch leitet Pakete nicht weiter etc.) schaltet die Windows Firewall automatisch nach Öffentlich um. Der Dienst zur Erkennung der Netzwerkumgebung heißt NLASVC Network Location Awareness.

2 NLASVC ermittelt das Domänenprofil mittels LDAP. Ist ein Domain Controller erreichbar, schaltet die Windows Firewall in das Domänen Profil um. Findet der Dienst keine Domäne wird automatisch das Öffentliche Profil geladen. Dieses Verhalten lässt sich sehr gut im Ereignisprotokoll verfolgen. NLASVC startet automatisch und reagiert unteranderem auf Veränderungen im Netzwerk. Eine Veränderung kann ein Link Verlust sein oder ein Wechsel in ein anderes Netz; gerade bei virtuellen Maschinen kommt so etwas häufiger vor. Es kommt zur erneuten Identifizierung der Netzwerkumgebung. Wird die Domäne z.b. aus genannten Gründen nicht mehr erkannt oder gefunden, switcht die Windows Firewall automatisch ins Öffentliche Profil um.

3 Wird das Netzwerkprofil über eine GPO forciert ist das dazugehörige DNS Suffix hier zu finden. NLASVC versucht die Domäne über LDAP UDP-Ping zu erreichen.

4 Stimmt die gefundene Domäne mit dem Wert in der Registry überein, schaltet die Windows Firewall in das Domänen Profil um. Wie kommt man nun aus dem Öffentlichen Profil wieder zurück ins Domänen Profil? Ich unterstelle jetzt einmal, dass die Netzwerkkarte richtig und sauber konfiguriert ist, bzw. dass die NIC eine IP, Gateway und DNS (erreichbar) bezogen hat oder fest eingetragen ist. Domänenvertrauensstellung ist natürlich auch gegeben! 1) Neustart des NLASVC Dienstes 2) Neustart des NLASVC Dienstes über die Powershell

5 3) Neustart des Netzwerkadapters über die Powershell 4) NLASVC von einer aktiven NIC abhängig machen 5) NLASVC auf verzögerten Start setzen

6 CMD Befehle: sc qtriggerinfo NlaSvc sc triggerinfo NlaSvc start/networkon stop/networkoff sc qtriggerinfo NlaSvc sc qc NlaSvc sc config NlaSvc start= delayed-auto sc qc NlaSvc Aktuelles Netzwerkprofil auslesen CMD: netsh advfirewall monitor show currentprofile Aktuelles Netzwerkprofil auslesen Powershell: (Get-NetConnectionProfile).NetworkCategory In der Registry finden wir den Dienst sowie den Start-Modus hier:

7 Die Netzwerkstandorterkennung räumt Software-Programmen die Möglichkeit ein, ihr Verhalten bedingt durch das gerade aktive Netzwerkprofil anzupassen. Als bestes Beispiel dienen hier die Anti-Viren-Programme. Je nachdem in welchem Netzwerkprofil sich die Maschine gerade befindet, gelten entsprechende Regelwerke.