jhaar's questions

我们正在使用 openvpn 提供从 XP 恢复工作的访问权限。我们使用 AD 策略来确保 XP 防火墙在域外时启动，在域内时关闭。使用 openvpn，你最终会得到一个新的网络接口，当你离开域并且 vpn 恢复工作时，XP 会“找到域，但我也在非域网络上，所以防火墙启动”。

但是，我发现我们可以使用 netsh 在 openvpn 接口上完全禁用防火墙：

echo firewall set opmode mode = DISABLE interface = "name of openvpn interface" | netsh

这很棒：这意味着当我们的用户在家/酒店时，他们的防火墙已启动 - 但通过 vpn 进行的远程访问是双向的。

然后出现了 Win7（让我们假设 Vista 不存在 - 不太难！）。“域”和“其他”的概念已经一去不复返了，现在是“域”、“家庭/工作”和“公共”——你不能禁用每个接口的防火墙。它比 XP 复杂得多，并且作为旁注，我看到很多家庭用户因此完全禁用 Win7 防火墙 - grrr！

无论如何，我的问题是，我怎样才能复制我们在 XP 下的功能？如何编写 Win7 脚本以完全禁用 openvpn 接口上的防火墙，但在其他接口上正常运行？我追求的最终结果是我们（IS 组、AV 服务器、漏洞扫描仪）可以在他们在酒店/在家/等时远程访问该盒子 - 就像他们在公司 LAN 上一样。我需要一个脚本，因为我对 GUI 的体验意味着我们需要为我们的帮助台人员提供一份 10 页的屏幕快照文档！

我们在 20 多个国家/地区拥有 40 多个站点。我们使用出口过滤并通过 WPAD 强制大多数用户通过代理服务器。

WPAD 很棒，为我们工作了 99.9%。但是，我们遇到过一些 WPAD 支持问题导致浏览器（仅 MSIE - 在极少数情况下）或 3rd 方应用程序（WebEX voip）无法工作的情况，因为它们无法正确确定本地代理的位置 - 直接尝试- 失败。

那么，除了 WPAD 之外，是否还有其他机制可以使拥有大量出口点/代理的企业能够支持所有浏览器（即不仅仅是 MSIE）和其他 Web 客户端？正如我所提到的，WPAD 实际上为我们工作了 99.9%，但这种情况的问题是人们只会“看到”失败——然后开始灰飞烟灭……

PS：不，“使用 DHCP”不是一个不同的选项。这只是提供 WPAD（主要是 DNS）的一种替代机制。只是想我会在其他人之前回答这个问题;-)

谢谢

杰森