Skip Ribbon Commands
Skip to main content

Ondrej Sevecek's Blog

:

Engineering and troubleshooting by Directory Master!
Microsoft Certified Master: Directory Services   RSS
RSS
Ondrej Sevecek's Blog > Posts > Jak osvěžím detekci typu sítě a profilu ve Windows Firewall
únor 01
Jak osvěžím detekci typu sítě a profilu ve Windows Firewall
by  Ondřej Ševeček  on 1.2.2016 20:32

Dneska jenom rychlovka - Windows Firewall závisí na detekci síťového připojení a podle toho si nastavuje profil a tedy sadu pravidel a chování.

Obvykle vás zajímá pouze rozlišení mezi Domain network a Public network. Někdy se to detekuje špatně. Je za to zodpovědná služba Network Location Awareness (NLA, česky viz moje překladová tabulka služeb). Jenže se startuje moc brzo (Automatic) a někdy ještě není úplně rozjetá síť, ale přitom máte zastrčené kabely.

Pokud byste teprve později kabelem (nebo WiFi) zakvedlali, tak se to předetekuje. Ale pokud na nic nesaháte, tak se nová detekce neprovádí. A Windows Firewall máte ve veřejném (public) profilu. Když to chcete nechat osvěžit a tu detekci aktualizovat, jednoduše restartněte NlaSvc službu. 

Restart-Service NlaSvc -Force

Upozorňuju, že pokud na Windows 2008 a Windows 2008 R2, které je PDC vypnete IPv6, tak to bude navždy v Public profilu. Ona totiž NLA služba používá LDAP UDP ping na PDC a pokud je to zrovna samo PDC tak to samozřejmě posílá na loopback/localhost 127.0.0.1. A jak soudruzi v jůesej zapomněli otevřít port UDP 389 na téhle IPv4 adrese, tak tam prostě nejde pingnout. Na Windows 2012 už to poslouchá paušálně na 0.0.0.0 takže tam to není problém.

Permanent Link to Post | Email Post Link | Number of Comments 4 Comment(s)

Comments

Re: Jak osvěžím detekci typu sítě a profilu ve Windows Firewall

příkladem může být například Hyper-V železo, které je členem domény, a na kterém běží jeho vlastní řadič domény (DC). Ten se samozřejmě spouští až potom, co železo naběhne a tudíž má železo firewall zavřený na Public profile na vždycky, pokud to neosvěžíte například naplánovanou úlohou.

powershell -Command "Restart-Service NlaSvc -Force"
ondass on 1.2.2016 22:48

Re: Jak osvěžím detekci typu sítě a profilu ve Windows Firewall

teď jsem zápasil se stanicí - když public tak totalní FW, tak se vzdáleně nepřipojím.
řešením bylo odložení start + trigger

sc config NlaSvc start= delayed-auto
sc triggerinfo NlaSvc start/networkon stop/networkoff
sc qc NlaSvc
sc qtriggerinfo NlaSvc

sice je detekce zpožděná ale jede to
muflon on 3.3.2020 11:32

Re: Jak osvěžím detekci typu sítě a profilu ve Windows Firewall

naše řešení pro tenhle problém u 3 serverů (2 * W2012R2, 1*W2019) bylo až softwarové disable/enable u relevantních síťových adapterů a jejích případných týmů.

restart služby nezabral ani několikanásobně (služba se restartovala, identifikace sítě změnila na "zjišťuje se.." síťový profil však na doménový nepřeskočil). vyp/zap síťového adaptéru se chytlo hned.
při automatizaci pak asi "pingej řadič. dlouho-li se nedaří, vypni relevantní (ne iSCSI) síťovky, počkej pár vteřin, zapni je"

Nejnižším společným jmenovatelem "problémových" serverů, které se samy nevzpamatovaly, byla Broadcom síťová karta.

u pár serverů nastal pád do "Private" síťového profilu profilu. Přitom jsme před vyvoláním chyby ověřili, že v "Network List Manager Policies" (GPEDIT.MSC) to jako private profil evidované není. Buď bylo potřeba server po změně politiky ještě restartovat (NLASVC po změně restartovaná byla) nebo spíš nevím. Stalo se nám to i u serveru, který ten profil politikou nastavený neměl nikdy.

petrbartos on 26.9.2020 7:05

Nice

I really like the information you share. Thanks to that, I know many more interesting and useful things.  https://mapquestdirections.org/texas
Sari on 2.11.2023 3:58

Add Comment

Title


Pole Title nemusíte vyplňovat, doplní se to samo na stejnou hodnotu jako je nadpis článku.

Author *


Pole Author nesmí být stejné jako pole Title! Mám to tu jako ochranu proti spamu. Roboti to nevyplní dobře :-)

Body *


Type number two as digit *


Semhle vyplňte číslici dvě. Předchozí antispemové pole nefunguje úplně dokonale, zdá se, že jsou i spamery, které pochopily, že je občas potřeba vyplnit autora :-)

Email


Emailová adresa, pokud na ni chcete ode mě dostat odpověď. Nikdo jiný než já vaši emailovou adresu neuvidí.

Attachments