Hoekom ’n VPN-adapter altyd in die werkprofiel beland

Koppel die korporatiewe tonnel en die skootrekenaar verander stilweg van karakter. Lêerdeling stop, naamblaaiing misluk, ’n toepassing wat vroeër geluister het, luister nie meer nie, en Instellings wys die verbinding as Werk of Ongeïdentifiseer. Daar is drie maniere om daardie klassifikasie vas te pen, en die keuse tussen hulle hang daarvan af of die toestel bestuur word, of die etiket aanhou terugkeer en of iets werklik ontdekking op daardie adapter nodig het.

Wat die etiket werklik beheer

Windows groepeer elke netwerk in ’n kategorie en kies daaruit ’n firewallprofiel. Die Openbare profiel weier inkomende deling, ontdekking en die lêer- en drukkerpoorte voordat enige reël wat jy byvoeg geraadpleeg word, terwyl Privaat meer toelaat. Toepassings wat die kategorie nagaan voordat hulle ’n diens blootstel, sien dieselfde waarde.

Dit is ’n beleidskeuse, nie ’n roeteringsbesluit nie. ’n Adres kan heeltemal bereikbaar wees en tog geweier word omdat die geldende profiel nie ’n pasende reël bevat nie, en geen roetcherstel sal dit verander nie. Twee verskillende vrae, twee verskillende gereedskap. Om hulle te vermeng is die algemeenste rede waarom ’n oplossing lyk of dit werk en dan ophou.

Die kategorie word per netwerk gestoor, en die netwerk word deur ’n handtekening geïdentifiseer. Vir ’n gewone LAN sluit daardie handtekening die verstekpoort se hardewareadres en die verbinding se DNS-agtervoegsel in, en ’n VPN-adapter het tipies nie een van die twee nie. ’n Swak handtekening beteken dieselfde tonnel kan na ’n kliëntopgradering soos ’n nuwe netwerk lyk.

Dit is waarom die etiket op sy eie lyk of dit verander. Windows is nie wispelturig nie; dit slaag nie daarin om die tonnel te herken as die netwerk wat dit verlede week geklassifiseer het nie.

Drie voorwaardes wat die benadering bepaal

Die eerste voorwaarde is eienaarskap. Op ’n bestuurde skootrekenaar is die instelling dikwels gesluit, en ’n plaaslike wysiging sal deur die volgende beleidsverfrissing oorskryf word. Om daarteen te veg kos ’n middag; die beleid is die ondersteunde kanaal en die enigste een wat hou.

Die tweede voorwaarde is herhaling. As die etiket meer as een keer teruggekeer het, word die waarde per netwerk herbou uit ’n handtekening wat verander het, en om dit weer te wysig sal nie hou nie. Beleidswaardes woon in ’n aparte tak wat die per-gebruiker-waardes oorterf wat Windows elke keer herbou wanneer die adapter weer koppel.

Die derde voorwaarde is behoefte. Sommige omgewings vereis werklik naamoplossing en ontdekking oor die tonnel, en dié wil noue firewallreëls vir spesifieke adresse eerder as ’n hele adapter wat na Privaat verskuif word. Om die kategorie om te skakel om een diens te laat werk, is hoe ’n tonnel meer blootstel as wat bedoel is.

Beantwoord die drie voorwaardes en die keuse word vir jou gemaak. Twee wat na beleid wys, beteken beleid, en een wat na ’n eenmalige toets wys, beteken ’n plaaslike wysiging wat jy van plan is om te verwerp.

Pen dit vas en lees dan terug watter profiel geld

Plaaslike sekuriteitsbeleid wys die instelling onder Beleide vir die netwerklys. Maak secpol.msc oop, brei daardie nodus uit, maak die inskrywing vir die tonnel se netwerk oop, stel die liggingstipe op Openbaar en stel die gebruikerstoestemming sodat die ligging nie verander kan word nie. Daardie instellings beland in die Beleide-tak van dieselfde boom, en daarom oorterf hulle die per-gebruiker-waardes wat ’n herkoppeling oorskryf.

Openbaar is gewoonlik reg vir ’n VPN-adapter, want dit blokkeer inkomende deling en ontdekking by verstek. Dit is die versigtige keuse vir ’n tonnel wat op ’n onbetroubare segment kan beland, en dit kan later verslap word met spesifieke reëls eerder as ’n kategorieverandering. Om die kategorie te verbreed om een diens reg te maak, is ’n ruil wat jy nie maklik kan terugdraai nie. ’n Reël kan in sekondes verwyder word.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Die eerste opdrag rapporteer die geldende kategorie eerder as dié in die dialoog, en dit is die waarde wat die firewall se gedrag bepaal. Die tweede bevestig dat die profiel wat toegepas word geaktiveer is en op watter een jy werklik staatmaak.

Let op wat die paar nie bewys nie. Nie een van die opdragte wys of ’n spesifieke inkomende reël bestaan nie, so ’n diens wat steeds nie antwoord nie, het ’n reëlkontrole nodig eerder as nog ’n kategorie-wysiging.

Wanneer die simptoom nie die kategorie is nie

’n Netwerkmerker kan agter die verbinding bly, en ouer Windows-weergawes het ’n gedokumenteerde fout gehad waar ’n geforseerde tonnel-VPN as Beperk gewys het terwyl verkeer gevloei het en gepakte toepassings geweier het om dit te gebruik. Die merker was verkeerd; die tonnel het gewerk.

Toets dus die ding waaroor die gebruiker werklik gee eerder as die ikoon. Bereik die diens per adres, dan per naam, dan deur die toepassing. Elke stap skei roetering, oplossing en toepassingsbeleid, en die kategorie kom eers by die firewall-stap in.

As die kategorie korrek is en die diens steeds misluk, kyk na die reëls se omvang. ’n Reël wat vir die Privaat-profiel geskryf is, hou op pas die oomblik wanneer die adapter Openbaar is, en dit is ’n ander fout as ’n reël wat nooit geskep is nie.

Teken die beoogde kategorie aan, of dit deur beleid afgedwing word en die adresse wat uitsonderings nodig het. Daardie nota beantwoord die volgende verslag oor verdwynende delings met ’n feit oor profiele en omvange eerder as nog ’n teorie oor die tonnel.

Die besluit is klein en die gevolge is nie. ’n Kategorie is ’n firewall-kieser, en om dit as kosmeties te behandel is hoe ’n werkende diens ’n raaisel word.