Ці павінен адаптар VPN у Windows быць прыватным ці публічным?
Вызначце, ці належыць адаптар VPN у Windows да прыватнага профілю, з дапамогай трох правер: давераны шлях, стабільная класіфікацыя і правілы, якія вам сапраўды патрэбны.
Усталяваць адаптар VPN у Windows у стан «Прыватны» — правільна для карпаратыўнага тунеля і няправільна для камерцыйнага кліента VPN, і розніца не знешняя. Катэгорыя сеткі выбірае профіль брэндмаўэра, таму адно змяненне адразу дапускае цэлы набор правілаў. Я бачыў, як сцэнар уваходу ставіў кожны невядомы адаптар у «Прыватны», і гэта ціха адкрыла агульны доступ да файлаў у гатэльнай бесправадной сетцы. Адказ вызначаюць тры ўмовы, і ўсе яны павінны выконвацца, перш чым вы дакранецеся да налады.
Што катэгорыя насамрэч вызначае
Network Location Awareness будуе подпіс для кожнай падключанай сеткі з таго, што адаптар можа паведаміць: адрас шлюза і MAC, суфікс DNS, ці адказвае кантролер дамена, і ці мае сетка выхад у інтэрнэт. Windows прывязвае профіль да гэтага подпісу, а затым брэндмаўэр ужывае набор правілаў для гэтага профілю. «Публічны» — гэта запасны варыянт, калі ідэнтыфікацыя не ўдалася, таму працоўны тунель можа заставацца пазначаным як невядомая сетка.
Адаптар TUN або TAP звычайна дае ідэнтыфікацыі вельмі мала звестак. Партнёр тунеля часта адзін адрас, а не шлюз, DNS можа перадавацца толькі ўнутры тунеля, а адаптар не мае ўласнага маршруту па змаўчанні. Атрыманая пазнака апісвае ўваход брэндмаўэра, а не стан тунеля, і менавіта таму правілы прыватнага профілю перастаюць супадаць у момант падключэння VPN.
Умова першая: тунель — гэта давераны шлях
Выбар «Прыватны» сцвярджае, што ўсё дасяжнае праз гэты інтэрфейс прынамсі такое ж надзейнае, як ваша ўласная LAN, бо выяўленне і правілы ўваходу будуць лічыць гэтую падсетку лакальнай. Для карпаратыўнага тунеля ў кіраваную падсетку з файлавымі серверамі і прынтарамі гэта сцвярджэнне звычайна слушнае. Адаптар — гэта дзверы ў сетку, якую кантралюе ваша арганізацыя, і машына на іншым баку была дапушчана той жа палітыкай, што дапусціла вашу.
Камерцыйны выхад VPN не праходзіць гэтую праверку. Іншыя абаненты дзеляць выхадную падсетку, і пазначэнне яе як «Прыватная» змяшчае выяўленне сеткі, LLMNR і развязанне імёнаў NetBIOS на сегмент, поўны незнаёмцаў. Раздзелены тунель таксама можа не прайсці: калі адаптар нясе адзіны маршрут да хаста для адной праграмы, даверанай падсеткі наогул няма, і змяненне катэгорыі нічога вам не дае.
Умова другая: класіфікацыя вытрымлівае перападключэнні
Новы шлюз або суфікс DNS стварае новы подпіс, і Windows прымае для яго свежае рашэнне аб профілі. Таму аднаразовы Set-NetConnectionProfile дзейнічае да наступнага перападключэння, а не вечна. Правярайце профіль пасля перападключэння, а не пасля першага падключэння, бо менавіта тады налада вяртаецца сама.
Ёсць тры спосабы зрабіць гэта трывалым. Найчысцейшы — палітыка: адкрыйце secpol.msc, перайдзіце ў Network List Manager Policies і задайце тып размяшчэння для сеткі, уключаючы палітыку для невядомай сеткі, каб профіль ужываўся палітыкай, а не камандай. Другі — сцэнар для кожнага падключэння або запланаваная задача, якая запускае каманду PowerShell пасля ўздыму тунеля. Трэці — даўні тручок з маршрутам, які дае ідэнтыфікацыі шлюз для праверкі:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileТручок з маршрутам — гэта абыход, а не класіфікацыя. Ён ламаецца, калі змяняецца суадносіна метрык або кліент VPN перапісвае маршруты пры перападключэнні, і ён ціха змяняе выбар шляху для ўсяго, што апускаецца да другога маршруту па змаўчанні.
Умова трэцяя: вам патрэбны набор прыватных правілаў
«Прыватны» звычайна нясе агульны доступ да файлаў і прынтараў, выяўленне сеткі і групы аддаленага кіравання. Калі задача — дасягнуць агульнага рэсурсу SMB або прынтара праз тунель, гэта і ёсць сапраўдная прычына змяніць катэгорыю. Калі задача — зыходны доступ да адной вэб-праграмы, катэгорыя не мае значэння: напішыце правіла зыходу, пакіньце «Публічны» і спыніцеся на гэтым.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Чытайце табліцу як адпраўны пункт, а затым праверце, якія прыватныя правілы сапраўды ўключаны ў вашай зборцы. Узмоцнены вобраз мог цалкам прыбраць агульны доступ да файлаў з прыватнага профілю, і тады змяненне катэгорыі нічога не дасягне, пакуль вы не вернеце правіла. Гэтая праверка займае адну каманду і зберагае доўгі паўдзень.
Змяніць, не пашыраючы ўсё астатняе
Нацэльцеся на індэкс інтэрфейса, а не на шаблон, і прачытайце спіс да і пасля:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileЗахаваныя профілі жывуць пад ключом NetworkList у рэестры, дзе значэнне Category аддзяляе публічныя, прыватныя і даменныя сеткі. Рэдагаваць яго можна і лёгка памыліцца: трэба змяніць запіс, які адпавядае бягучаму подпісу адаптара, а не старэйшы запіс, пакінуты папярэднім адрасам. Састарэлы запіс выглядае правільным у рэдактары і нічога не робіць пры перападключэнні.
Што б вы ні рабілі, не выпускайце сцэнар, які ставіць кожны невядомы адаптар у «Прыватны». Гэта аднарадковы варыянт адкрыцця выяўлення ў недаверанай бесправадной сетцы. Калі агульны доступ патрэбны толькі з падсеткай тунеля, пакіньце профіль «Публічны» і дадайце абмежаваныя правілы ўваходу для дыяпазону выдаленых адрасоў тунеля; правіла брэндмаўэра вужэйшае за катэгорыю.
Правярайце агульны рэсурс, а не пазнаку
Пасля змянення праверце сам рэсурс, а не давярайце пазнаку:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleКалі агульны рэсурс усё яшчэ недаступны, пакуль адаптар паказвае «Прыватны», катэгорыя ўжо не ваша праблема. Развязанне імёнаў, адсутны маршрут або дазволы на рэсурс дадуць тыя ж сімптомы, і чарговае змяненне профілю не вылечыць ніводнага з іх. Перападключыцеся адзін раз і зноў запусціце Get-NetConnectionProfile, каб пацвердзіць, што налада трымаецца, а затым разбірайце рэштку як звычайную праблему SMB.
Кантрольны спіс: пацвердзіце, што тунель — кіраваны шлях, што профіль вытрымлівае перападключэнне, што патрэбныя прыватныя правілы ёсць у вобразе і што агульны рэсурс развязваецца і адказвае на порце 445. Калі хоць адно з першых трох не выконваецца, пакіньце адаптар у «Публічны» і вырашыце праблему доступу абмежаваным правілам.