هل يجب أن يكون محول VPN في Windows خاصًا أم عامًا؟
حدد ما إذا كان محول VPN في Windows ينتمي إلى ملف تعريف «خاص» باستخدام ثلاثة اختبارات: مسار موثوق، وتصنيف مستقر، وقواعد تحتاجها فعلًا.
ضبط محول VPN في Windows على «خاص» صحيح لنفق مؤسسي وخاطئ لعميل VPN تجاري، والفرق ليس شكليًا. فئة الشبكة تختار ملف تعريف جدار الحماية، لذا يفتح تغيير واحد مجموعة قواعد كاملة دفعة واحدة. رأيت سكربت تسجيل دخول يضبط كل محول غير معروف على «خاص»، فكشف ذلك بهدوء مشاركة الملفات على شبكة لاسلكية في فندق. ثلاثة شروط تحدد الجواب، ويجب أن تتحقق جميعها قبل أن تمس الإعداد.
ما الذي تحدده الفئة فعلاً
تبني Network Location Awareness بصمة لكل شبكة متصلة من المعلومات التي يستطيع المحول الإبلاغ بها: عنوان البوابة و MAC، ولاحقة DNS، وما إذا كان وحدة تحكم المجال تستجيب، وما إذا كانت الشبكة تصل إلى الإنترنت. يربط Windows ملف تعريف بتلك البصمة، ثم يطبق جدار الحماية مجموعة القواعد الخاصة بذلك الملف. «عام» هو الخيار الاحتياطي كلما فشل التعرف، ولهذا يمكن أن يبقى نفق عامل مصنفًا شبكة غير معروفة.
عادةً لا يمنح محول TUN أو TAP عملية التعرف سوى القليل جدًا للعمل به. فقرين النفق غالبًا عنوان واحد بدلًا من بوابة، وقد يُدفع DNS داخل النفق فقط، ولا يملك المحول مسارًا افتراضيًا خاصًا به. والتصنيف الناتج يصف مدخلات جدار الحماية، لا صحة النفق، وهو السبب في أن قواعد ملف التعريف الخاص تتوقف عن المطابقة لحظة اتصال VPN.
الشرط الأول: النفق هو المسار الموثوق
اختيار «خاص» يعني الادعاء بأن كل ما يمكن الوصول إليه عبر هذه الواجهة لا يقل وثوقًا عن شبكتك المحلية، لأن الاكتشاف وقواعد الوارد ستعامل تلك الشبكة الفرعية كمحلية. وفي النفق المؤسسي إلى شبكة فرعية مُدارة فيها خوادم ملفات وطابعات، يصح هذا الادعاء عادةً. المحول باب إلى شبكة تسيطر عليها مؤسستك، والجهاز على الجانب الآخر قُبل بالسياسة نفسها التي قبلت جهازك.
مخرج VPN تجاري يفشل في هذا الاختبار. فمشتركون آخرون يتشاركون الشبكة الفرعية للمخرج، ووسمها بـ «خاص» يضع اكتشاف الشبكة و LLMNR وتحليل أسماء NetBIOS على مقطع مليء بالغرباء. ويمكن أن يفشل أيضًا النفق المنقسم: عندما يحمل المحول مسار مضيف واحد إلى تطبيق واحد، لا توجد شبكة فرعية موثوقة أصلًا، ولا يشتري لك تغيير الفئة شيئًا.
الشرط الثاني: التصنيف يصمد أمام إعادة الاتصال
بوابة جديدة أو لاحقة DNS جديدة تنتج بصمة جديدة، ويتخذ Windows قرارًا جديدًا بشأنها. لذا يعيش Set-NetConnectionProfile لمرة واحدة حتى إعادة الاتصال التالية، لا إلى الأبد. افحص الملف بعد إعادة الاتصال لا بعد الاتصال الأول، لأن الإعداد يعود من تلقاء نفسه في تلك اللحظة.
هناك ثلاث طرق لتثبيته. الأنظف هي السياسة: افتح secpol.msc، واذهب إلى Network List Manager Policies، واضبط نوع الموقع للشبكة، بما في ذلك سياسة الشبكة غير المعروفة، ليُطبق الملف بالسياسة لا بأمر. والثانية سكربت لكل اتصال أو مهمة مجدولة تشغّل أمر PowerShell بعد قيام النفق. والثالثة حيلة المسار القديمة، التي تمنح التعرف بوابة يستكشفها:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileحيلة المسار حل مؤقت، لا تصنيف. تتعطل عندما تتغير علاقة المقياس أو يعيد عميل VPN كتابة المسارات عند إعادة الاتصال، وتغيّر بهدوء اختيار المسار لأي شيء يقع على المسار الافتراضي الثاني.
الشرط الثالث: تحتاج مجموعة القواعد الخاصة
يحمل «خاص» عادةً مشاركة الملفات والطابعات واكتشاف الشبكة ومجموعات الإدارة عن بعد. إذا كانت المهمة الوصول إلى مشاركة SMB أو طابعة عبر النفق، فذلك هو السبب الحقيقي لتغيير الفئة. وإذا كانت المهمة وصولًا صادرًا إلى تطبيق ويب واحد، فالفئة غير ذات صلة: اكتب قاعدة الصادر، وأبقِ «عام»، وتوقف عند ذلك.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
اقرأ الجدول كنقطة انطلاق، ثم افحص أي قواعد خاصة مفعّلة فعلاً في نسختك. قد تكون صورة مُحصّنة قد أزالت مشاركة الملفات من ملف التعريف الخاص كليًا، وفي هذه الحالة لا يحقق تغيير الفئة شيئًا حتى تعيد القاعدة. هذا الفحص يستغرق أمرًا واحدًا ويوفر عليك أصيلًا طويلًا.
إجراء التغيير دون توسيع كل شيء آخر
استهدف فهرس الواجهة، لا حرف بدل، واقرأ القائمة قبل وبعد:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileتعيش الملفات المخزنة تحت مفتاح NetworkList في السجل، حيث تفصل قيمة Category بين الشبكات العامة والخاصة وشبكات المجال. تحريره ممكن وسهل الخطأ: يجب أن تغيّر الإدخال المطابق لبصمة المحول الحالية، لا إدخالًا أقدم خلفه عنوان سابق. الإدخال القديم يبدو صحيحًا في المحرر ولا يفعل شيئًا عند إعادة الاتصال.
أيًا كان ما تفعله، لا تُطلق سكربتًا يضبط كل محول غير معروف على «خاص». فهذا هو الإصدار المؤلف من سطر واحد لفتح الاكتشاف على شبكة لاسلكية غير موثوقة. إن كنت تحتاج المشاركة مع شبكة النفق الفرعية فقط، فأبقِ الملف «عام» وأضف قواعد وارد محدودة بنطاق عنوان النفق البعيد؛ فقاعدة جدار الحماية أضيق من الفئة.
تحقق من المشاركة، لا من التسمية
بعد التغيير، اختبر المورد نفسه بدلًا من الوثوق بالتسمية:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleإذا استمر فشل المشاركة بينما يعرض المحول «خاص»، فلم تعد الفئة مشكلتك. فتحليل الأسماء أو مسار مفقود أو أذونات المشاركة ستنتج الأعراض نفسها، وتغيير الملف مرة أخرى لا يصلح أيًا منها. أعد الاتصال مرة واحدة وأعد تشغيل Get-NetConnectionProfile لتأكيد ثبات الإعداد، ثم عالج الفشل المتبقي كمشكلة SMB عادية.
قائمة التحقق: تأكد أن النفق مسار مُدار، وتأكد أن الملف يصمد بعد إعادة الاتصال، وتأكد أن القواعد الخاصة التي تحتاجها موجودة في الصورة، وتأكد أن المشاركة تُحل وتستجيب على المنفذ 445. إن كان أي من الثلاثة الأولى غير صحيح، فأبقِ المحول على «عام» وحل مشكلة الوصول بقاعدة محدودة النطاق بدلًا من ذلك.