Windows VPN adapteriniz Şəxsi, yoxsa İctimai olmalıdır?

Windows VPN adapterini Şəxsi olaraq təyin etmək korporativ tunel üçün doğru, kommersiya VPN müştərisi üçün isə yanlışdır və fərq yalnız zahiri deyil. Şəbəkə kateqoriyası firewall profilini seçir, buna görə bir dəyişiklik bütöv bir qayda dəstini birdən qəbul edir. Mən giriş skriptinin hər naməlum adapteri Şəxsi etdiyini görmüşəm və bu, otel simsiz şəbəkəsində fayl paylaşımını sakitcə açıq qoydu. Cavabı üç şərt həll edir və parametrə toxunmazdan əvvəl hamısı doğru olmalıdır.

Kateqoriya əslində nəyi həll edir

Network Location Awareness hər qoşulmuş şəbəkə üçün adapterin bildirə biləcəyi məlumatdan imza qurur: şlüz ünvanı və MAC, DNS sufiksi, domen nəzarətçisinin cavab verib-verməməsi və şəbəkənin internetə çatıb-çatmaması. Windows bu imzaya profil bağlayır, sonra firewall həmin profil üçün qayda dəstini tətbiq edir. İdentifikasiya uğursuz olduqda İctimai profil ehtiyat variantdır, buna görə işləyən tunel belə naməlum şəbəkə kimi işarələnə bilər.

TUN və ya TAP adapteri adətən identifikasiyaya çox az məlumat verir. Tunel qarşı tərəfi çox vaxt şlüz deyil, tək bir ünvandır, DNS yalnız tunelin içində ötürülə bilər və adapterin öz default marşrutu yoxdur. Yaranan etiket tunelin sağlamlığını deyil, firewall girişini təsvir edir və VPN qoşulan anda şəxsi profil qaydalarının uyğunluqdan çıxmasının səbəbi budur.

Birinci şərt: tunel etibarlı yoldur

Şəxsi seçmək, bu interfeysdən əlçatan hər şeyin ən azı öz LAN-ınız qədər etibarlı olduğunu iddia etməkdir, çünki kəşfiyyat və daxil olan qaydalar bu subneti lokal sayacaq. Fayl serverləri və printerləri olan idarə olunan subnetə korporativ tunel üçün bu iddia adətən doğrudur. Adapter təşkilatınızın nəzarət etdiyi şəbəkəyə qapıdır və qarşı tərəfdəki maşın sizinkini qəbul edən siyasətlə qəbul edilib.

Kommersiya VPN çıxışı bu sınaqdan keçmir. Digər abunəçilər çıxış subnetini paylaşır və onu Şəxsi işarələmək şəbəkə kəşfiyyatını, LLMNR və NetBIOS ad həllini yad insanlarla dolu seqmentə qoyur. Bölünmüş tunel də bu sınaqdan keçə bilməz: adapter bir tətbiqə tək host marşrutu daşıyırsa, söhbət ediləcək etibarlı subnet yoxdur və kateqoriya dəyişikliyi sizə heç nə qazandırmır.

İkinci şərt: təsnifat yenidən qoşulmalara davam edir

Yeni şlüz və ya DNS sufiksi yeni imza yaradır və Windows bunun üçün təzə profil qərarı verir. Buna görə birdəfəlik Set-NetConnectionProfile yalnız növbəti yenidən qoşulmaya qədər işləyir, əbədi deyil. Profili ilk qoşulmadan sonra deyil, yenidən qoşulmadan sonra yoxlayın, çünki parametr məhz o zaman öz-özünə geri qayıdır.

Bunu qalıcı etməyin üç yolu var. Ən təmizi siyasətdir: secpol.msc açın, Network List Manager Policies bölməsinə keçin və şəbəkə üçün yer tipini, o cümlədən naməlum şəbəkə siyasətini təyin edin ki, profil əmrlə deyil, siyasətlə tətbiq olunsun. İkincisi, tunel qalxdıqdan sonra PowerShell cmdlet-ini işə salan hər qoşulma üçün skript və ya planlaşdırılmış tapşırıqdır. Üçüncüsü, identifikasiyaya yoxlamaq üçün şlüz verən köhnə marşrut hiyləsidir:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Marşrut hiyləsi təsnifat deyil, müvəqqəti həlldir. Metrik əlaqəsi dəyişdikdə və ya VPN müştərisi yenidən qoşulmada marşrutları yenidən yazdıqda pozulur və ikinci default marşruta düşən hər şey üçün yol seçimini sakitcə dəyişir.

Üçüncü şərt: şəxsi qayda dəstinə ehtiyacınız var

Şəxsi profil adətən Fayl və Printer Paylaşımını, Şəbəkə Kəşfiyyatını və uzaqdan idarəetmə qruplarını daşıyır. Vəzifə tunel üzərindən SMB paylaşımına və ya printerə çatmaqdırsa, kateqoriyanı dəyişməyin əsl səbəbi budur. Vəzifə bir veb tətbiqə çıxan girişdirsə, kateqoriya əhəmiyyətsizdir: çıxan qaydanı yazın, İctimai saxlayın və orada dayanın.

Cədvəli başlanğıc nöqtəsi kimi oxuyun, sonra quruluşunuzda hansı şəxsi qaydaların həqiqətən aktiv olduğunu yoxlayın. Sərtləşdirilmiş obraz fayl paylaşımını şəxsi profildən tamamilə çıxarmış ola bilər; bu halda qaydanı geri qaytarana qədər kateqoriya dəyişikliyi heç nəyə nail olmur. Bu yoxlama bir əmr çəkir və uzun bir günortadan sonra qənaət edir.

Dəyişikliyi başqa hər şeyi genişləndirmədən etmək

Wildcard deyil, interfeys indeksini hədəfləyin və siyahını əvvəl və sonra oxuyun:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Saxlanılan profillər qeydiyyatda NetworkList açarı altında yaşayır və Category dəyəri ictimai, şəxsi və domen şəbəkələrini ayırır. Onu redaktə etmək mümkündür və səhv etmək asandır: adapterin cari imzasına uyğun girişi dəyişməlisiniz, əvvəlki ünvandan qalan köhnə girişi deyil. Köhnə giriş redaktorda doğru görünür və yenidən qoşulmada heç nə etmir.

Nə edirsinizsə edin, hər naməlum adapteri Şəxsi edən skript yayımlamayın. Bu, etibarsız simsiz şəbəkədə kəşfiyyatı açmağın bir sətirlik variantıdır. Paylaşım yalnız tunel subneti ilə lazımdırsa, profili İctimai saxlayın və tunelin uzaq ünvan diapazonu ilə məhdudlaşan daxil olan qaydalar əlavə edin; firewall qaydası kateqoriyadan daha dardır.

Etiketi deyil, paylaşımı yoxlayın

Dəyişiklikdən sonra etiketə güvənmək əvəzinə resursun özünü sınayın:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Adapter Şəxsi göstərərkən paylaşım hələ də uğursuz olursa, kateqoriya artıq sizin probleminiz deyil. Ad həlli, çatışmayan marşrut və ya paylaşım icazələri eyni simptomu verəcək və profili yenidən dəyişmək onların heç birini düzəldə bilməz. Bir dəfə yenidən qoşulun və parametrin qaldığını təsdiqləmək üçün Get-NetConnectionProfile yenidən işə salın, sonra qalan nasazlığı adi SMB problemi kimi həll edin.

Yoxlama siyahısı: tunelin idarə olunan yol olduğunu təsdiqləyin, profilin yenidən qoşulmaya davam etdiyini təsdiqləyin, lazım olan şəxsi qaydaların obrazda olduğunu təsdiqləyin və paylaşımın həll olunduğunu və 445 portunda cavab verdiyini təsdiqləyin. İlk üçündən hər hansı biri yanlışdırsa, adapteri İctimai buraxın və giriş problemini məhdud qayda ilə həll edin.