لماذا ينتهي محوّل VPN دائمًا في ملف العمل
يربط Windows ملف جدار الحماية بتوقيع ضعيف على محوّل VPN. ثبّت الموقع بسياسة، ثم تحقّق من أي ملف سارٍ فعليًا.
وصّل نفق الشركة، فيغيّر الحاسوب المحمول طابعه بهدوء. يتوقف مشاركة الملفات، ويفشل الاستعراض بالاسم، ويتوقف تطبيق كان يستمع عن الاستماع، وتعرض الإعدادات الاتصال كـ«عمل» أو «غير معرّف». هناك ثلاث طرق لتثبيت هذا التصنيف، والاختيار بينها يعتمد على ما إذا كان الجهاز مُدارًا، وما إذا كانت التسمية تعود باستمرار، وما إذا كان شيء ما على ذلك المحوّل يحتاج فعلًا إلى اكتشاف.
ما تتحكم فيه التسمية فعليًا
يجمّع Windows كل شبكة في فئة ويختار منها ملف جدار حماية. يرفض ملف «العامة» المشاركة الواردة والاكتشاف ومنافذ الملفات والطابعات قبل النظر في أي قاعدة تضيفها، بينما يسمح «الخاصة» بأكثر من ذلك. التطبيقات التي تفحص الفئة قبل كشف خدمة ترى القيمة نفسها.
هذا اختيار سياسة، لا قرار توجيه. قد يكون العنوان قابلًا للوصول تمامًا ومع ذلك يُرفض لأن الملف السارّ لا يحتوي قاعدة مطابقة، ولا يغيّر أي إصلاح للمسارات ذلك. سؤالان مختلفان، وأداتان مختلفتان. خلطهما هو السبب الأكثر شيوعًا لظهور الإصلاح كأنه يعمل ثم توقفه.
تُخزَّن الفئة لكل شبكة، وتُعرَّف الشبكة بتوقيع. في شبكة محلية عادية يتضمن ذلك التوقيع عنوان العتاد للبوابة الافتراضية ولاحقة DNS للاتصال، ومحوّل VPN يفتقدهما عادة. التوقيع الضعيف يعني أن النفق نفسه قد يبدو شبكة جديدة بعد تحديث العميل.
لهذا تبدو التسمية وكأنها تتغير من تلقاء نفسها. لا يتصرف Windows بنزوة؛ إنه يفشل في التعرف على النفق بوصفه الشبكة التي صنّفها الأسبوع الماضي.
ثلاثة شروط تحدد النهج
الشرط الأول هو الملكية. على حاسوب محمول مُدار تكون الإعداد مقفلًا غالبًا، وأي تعديل محلي سيُستبدل عند التحديث التالي للسياسة. مصارعة ذلك تضيّع بعد الظهر؛ فالسياسة هي القناة المدعومة والوحيدة التي تصمد.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
الشرط الثاني هو التكرار. إذا عادت التسمية أكثر من مرة، فإن القيمة لكل شبكة تُعاد بناؤها من توقيع تغيّر، وإعادة تحريرها لن تدوم. تعيش قيم السياسة في فرع منفصل يتقدم على القيم لكل مستخدم التي يعيد Windows بناءها في كل مرة يتصل فيها المحوّل من جديد.
الشرط الثالث هو الحاجة. بعض البيئات تحتاج فعلًا إلى حل الأسماء والاكتشاف عبر النفق، وتلك تريد قواعد جدار حماية ضيقة لعناوين محددة بدل نقل المحوّل كله إلى «خاصة». تغيير الفئة ليعمل خدمة واحدة هو الطريق الذي ينتهي به النفق إلى كشف أكثر مما أُريد.
أجب عن الشروط الثلاثة، وسيصبح الاختيار واضحًا. شرطان يشيران إلى السياسة يعنيان السياسة، وشرط يشير إلى اختبار لمرة واحدة يعني تعديلًا محليًا تنوي التخلص منه.
ثبّته، ثم اقرأ أي ملف سارٍ
تعرض «سياسة الأمان المحلية» الإعداد ضمن «سياسات قائمة الشبكات». افتح secpol.msc، ووسّع تلك العقدة، وافتح الإدخال الخاص بشبكة النفق، واضبط نوع الموقع على «عام»، واضبط إذن المستخدم بحيث لا يمكن تغيير الموقع. تنتقل تلك الإعدادات إلى فرع «السياسات» في الشجرة نفسها، ولهذا تتقدم على القيم لكل مستخدم التي يعيد الاتصال كتابتها.
«عام» هو الخيار الصحيح عادةً لمحوّل VPN، لأنه يحجب المشاركة الواردة والاكتشاف افتراضيًا. هذا هو الخيار الحذر لنفق قد يهبط في مقطع غير موثوق، ويمكن تخفيفه لاحقًا بقواعد محددة بدل تغيير الفئة. توسيع الفئة لإصلاح خدمة واحدة مقايضة يصعب التراجع عنها. القاعدة تُزال في ثوانٍ.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabledيبلّغ الأمر الأول عن الفئة السارية لا عن تلك الموجودة في مربع الحوار، وهذه القيمة هي التي تحدد سلوك جدار الحماية. ويؤكد الثاني أن الملف المطبَّق ممكّن وأي ملف تعتمد عليه فعلًا.
لاحظ ما لا يثبته الزوجان. لا يُظهر أي الأمرين وجود قاعدة واردة محددة، لذا تحتاج خدمة ما زالت لا تجيب إلى فحص للقواعد لا إلى تغيير آخر للفئة.
حين لا يكون العَرَض هو الفئة
قد يتخلف مؤشر الشبكة عن الاتصال، وكانت إصدارات Windows الأقدم بها عيب موثّق حيث ظهر VPN بنفق مفروض كـ«محدود» بينما كانت حركة المرور تتدفق وترفض التطبيقات المحزّمة استخدامه. كان المؤشر مخطئًا؛ وكان النفق يعمل.
اختبر إذن ما يهم المستخدم فعلًا لا الأيقونة. صِل إلى الخدمة بالعنوان، ثم بالاسم، ثم عبر التطبيق. كل خطوة تفصل التوجيه وحل الأسماء وسياسة التطبيقات، ولا تدخل الفئة إلا في خطوة جدار الحماية.
إذا كانت الفئة صحيحة وظلّت الخدمة تفشل، فافحص نطاق القواعد. القاعدة المكتوبة للملف «خاصة» تتوقف عن المطابقة في اللحظة التي يصبح فيها المحوّل «عامًا»، وذلك عطل مختلف عن قاعدة لم تُنشأ قط.
سجّل الفئة المقصودة، وما إذا كانت مطبَّقة بسياسة، والعناوين التي تحتاج استثناءات. تلك الملاحظة تجيب التقرير التالي عن مشاركات تختفي بحقيقة عن الملفات والنطاقات، لا بنظرية أخرى عن النفق.
القرار صغير والنتائج ليست كذلك. الفئة محدِّد لجدار الحماية، ومعاملتها كأمر تجميلي هو الطريق الذي تتحول به خدمة عاملة إلى لغز.