Межсетевой экран Windows выбирает неправильный профиль после перезагрузки (ЧАСТНЫЙ / ОБЩЕСТВЕННЫЙ / ДОМЕН)

Содержание

Вопрос или проблема
Ответ или решение
1. Проверка настроек сети
2. Настройки DNS и доступ к контроллеру домена
3. Настройка реестра
4. Использование сценариев PowerShell
Заключение

Вопрос или проблема

На некоторых серверах у нас есть проблема, что после перезагрузки Windows Server выбирает ЧАСТНЫЙ профиль домена вместо ДОМЕННОГО.

Мы можем решить проблему, сбросив Сетевой адаптер:

Restart-NetAdapter Ethernet0

У кого-то есть постоянное решение?

Мы пробовали:

Запустить скрипт PowerShell через пару минут после загрузки (с помощью Планировщика заданий), но это почему-то не работает.
Проверить, что контроллер домена может быть найден с помощью

nltest /dsgetdc:domain.lan

Проверить, что DNS может найти контроллеры домена:

nslookup _ldap._tcp.dc._msdcs.domain.lan

Я также знаком с некоторыми параметрами реестра, которые можно изменить (NegativeCachePeriod, AlwaysExpectDomainControllert и AlwaysExpectDomainController), как указано здесь: https://learn.microsoft.com/en-us/answers/questions/400385/network-location-awareness-not-detecting-domain-ne.html, но я не хотел просто пробовать это в рабочей среде.

Я однажды выделил целый вечер, чтобы попробовать несколько предложений на рабочем сервере с этой проблемой, и в тот вечер я смог перезапустить сервер несколько раз, и проблема не возникала вообще. Поэтому трудно воспроизвести.

Эта проблема, похоже, решается с помощью следующего ключа реестра:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters] "AlwaysExpectDomainController"=dword:00000001

Больше информации на: https://server-essentials.com/support/windows-firewall-shows-public-or-private-profile-on-a-domain-controller

У нас была эта проблема на сервере Windows 2022. Я знаю, что это может иметь несколько причин, но в этом случае проблема заключалась в дублирующем IP-адресе в сети. Это заставило Windows применять профиль частного брандмауэра вместо доменного профиля. После удаления дублирующего IP-адреса с другого устройства проблема исчезла.

Ответ или решение

Проблема неправильного выбора профиля брандмауэра Windows (PRIVATE/DOMAIN/PUBLIC) после перезагрузки сервера Windows Server, когда выбирается профиль PRIVATE вместо DOMAIN, может быть вызвана несколькими факторами. Вот подробные шаги по диагностике и потенциальным решениям этой проблемы:

1. Проверка настроек сети

Проблема с дубликатом IP-адреса. Часто такая ситуация может возникать, если в сети имеется устройство с дублирующимся IP-адресом. Это приводит к тому, что Windows применяет профиль брандмауэра PRIVATE вместо DOMAIN. Убедитесь, что у всех устройств в сети уникальные IP-адреса.

Для проверки выполните команду:
```
arp -a
```
Это покажет все IP и соответствующие им MAC-адреса, которые могут помочь в выявлении возможных дубликатов.

2. Настройки DNS и доступ к контроллеру домена

Убедитесь, что сервер может правильно разрешать контроллер домена. Если сервер не может найти контроллер домена, он может выбрать неправильный профиль.

Проверьте доступность контроллера домена, выполнив:
```
nltest /dsgetdc:domain.lan
```
Проверьте разрешение доменных контроллеров:
```
nslookup _ldap._tcp.dc._msdcs.domain.lan
```

3. Настройка реестра

Если описанные выше шаги не устраняют проблему, попробуйте добавить/изменить запись в реестре.

Откройте редактор реестра (regedit) и перейдите к следующему пути:
```
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters
```
Создайте или измените значение AlwaysExpectDomainController и установите его в dword:00000001.

Этот параметр заставляет службу определения сетевого местоположения (NLA) немедленно ожидать наличия контроллера домена, что может помочь в правильном определении профиля.

4. Использование сценариев PowerShell

Если вы установили все настройки и проблема всё ещё возникает, можно попробовать запускать скрипт PowerShell, сбрасывающий сетевой адаптер, с некоторыми задержками во время запуска системы.

Задайте задачу в планировщике, чтобы запускать следующую команду:
```
Restart-NetAdapter -Name "Ethernet0"
```

Заключение

Если ни одно из вышеперечисленных решений не помогло, возможно, стоит проверить сетевые политики, настройки брандмауэра, а также рассмотреть возможность взаимодействия с производителем оборудования или программного обеспечения для получения поддержки. Если проблема проявляется нерегулярно, стоит обратить внимание на сетевые условия и любые изменения в конфигурации после перезагрузки.

Также не забывайте о регулярном резервном копировании системных настроек и реестра перед любыми изменениями.