Чаму VPN-адаптар зноў трапляе ў працоўны профіль
Windows прывязвае профіль брэндмаўэра да слабага подпісу VPN-адаптара. Замацуйце размяшчэнне палітыкай, а затым праверце, які профіль сапраўды дзейнічае.
Падключыце карпаратыўны тунэль, і наўтбук ціха змяняе характар. Агульны доступ да файлаў спыняецца, прагляд па назве не працуе, праграма, якая раней слухала порт, перастае слухаць, а Налады паказваюць злучэнне як Працоўная або Непазнаная сетка. Замацаваць гэтую класіфікацыю можна трыма спосабамі, і выбар паміж імі залежыць ад таго, ці кіруецца прылада, ці вяртаецца метка зноў і ці патрэбна на гэтым адаптары нешта, што сапраўды патрабуе выяўлення.
Што насамрэч кіруе меткай
Windows адносіць кожную сетку да катэгорыі і выбірае з яе профіль брэндмаўэра. Агульнадаступны профіль адхіляе ўваходны агульны доступ, выяўленне і порты файлаў і прынтараў яшчэ да таго, як будзе разгледжана хоць адно дададзенае вамі правіла, а Прыватны дазваляе больш. Праграмы, якія правяраюць катэгорыю перад публікацыяй службы, бачаць тое ж значэнне.
Гэта выбар палітыкі, а не рашэнне пра маршрутызацыю. Адрас можа быць цалкам даступны і ўсё роўна адхілены, бо дзейны профіль не ўтрымлівае адпаведнага правіла, і ніякі рамонт маршрутаў гэтага не зменіць. Два розныя пытанні, два розныя інструменты. Іх змешванне — самая частая прычына, чаму выпраўленне нібы працуе, а потым перастае.
Катэгорыя захоўваецца для кожнай сеткі, а сетка вызначаецца подпісам. У звычайнай лакальнай сетцы такі подпіс утрымлівае апаратны адрас шлюза па змаўчанні і DNS-суфікс злучэння, а ў VPN-адаптара звычайна няма ні таго, ні другога. Слабы подпіс значыць, што той жа тунэль пасля абнаўлення кліента можа выглядаць як новая сетка.
Таму здаецца, што метка змяняецца сама. Windows не капрызуе; яна проста не пазнае тунэль як сетку, якую класіфікавала на мінулым тыдні.
Тры ўмовы, якія вызначаюць падыход
Першая ўмова — належнасць. На кіраваным наўтбуку параметр часта заблакаваны, і лакальная змена будзе перазапісана падчас наступнага абнаўлення палітыкі. Барацьба з гэтым каштуе паўдня; палітыка — гэта канал, які падтрымліваецца, і адзіны, што трымаецца.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
Другая ўмова — паўторнасць. Калі метка вярталася больш за адзін раз, значэнне для сеткі перабудоўваецца з змененага подпісу, і паўторнае рэдагаванне не ўтрымаецца. Значэнні палітыкі жывуць у асобнай галіне, якая перакрывае карыстальніцкія значэнні, што Windows перабудоўвае кожны раз, калі адаптар падключаецца зноў.
Трэцяя ўмова — патрэба. Некаторым асяроддзям сапраўды патрэбныя развязанне імёнаў і выяўленне праз тунэль, і ім патрэбныя вузкія правілы брэндмаўэра для пэўных адрасоў, а не перанос усяго адаптара ў Прыватны. Пераключэнне катэгорыі дзеля адной працоўнай службы — гэта шлях, якім тунэль урэшце раскрывае больш, чым задумана.
Адказвайце на тры ўмовы, і выбар зробіцца сам. Дзве, што паказваюць на палітыку, азначаюць палітыку, а адна, што паказвае на разавую праверку, азначае лакальную змену, якую вы збіраецеся адкінуць.
Замацуйце гэта, а затым прачытайце, які профіль дзейнічае
Лакальная палітыка бяспекі паказвае параметр у раздзеле Палітыкі спісу сетак. Адкрыйце secpol.msc, разгарніце гэты вузел, адкрыйце запіс для сеткі тунэля, задайце тып размяшчэння «Агульнадаступны» і наладзьце дазвол карыстальніка так, каб размяшчэнне нельга было змяніць. Гэтыя параметры трапляюць у галіну «Палітыкі» таго ж дрэва, таму яны перакрываюць карыстальніцкія значэнні, якія перазапісвае паўторнае падключэнне.
Агульнадаступны звычайна правільны для VPN-адаптара, бо па змаўчанні блакуе ўваходны агульны доступ і выяўленне. Гэта асцярожны выбар для тунэля, які можа апынуцца ў недавераным сегменце, і з часам яго можна паслабіць дакладнымі правіламі замест змены катэгорыі. Пашырэнне катэгорыі дзеля выпраўлення адной службы — абмен, які цяжка адмяніць. Правіла выдаляецца за секунды.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, EnabledПершая каманда паведамляе дзейную катэгорыю, а не тую, што ў дыялогавым акне, і менавіта гэтае значэнне вызначае паводзіны брэндмаўэра. Другая пацвярджае, што профіль, які прымяняецца, уключаны і на які вы сапраўды спадзяяцеся.
Звярніце ўвагу, чаго гэтая пара не даказвае. Ні адна з каманд не паказвае, ці існуе пэўнае ўваходнае правіла, таму службе, якая дагэтуль не адказвае, патрэбна праверка правілаў, а не яшчэ адна змена катэгорыі.
Калі сімптом не ў катэгорыі
Індыкатар сеткі можа адставаць ад злучэння, а ў старых версіях Windows была дакументаваная хіба, калі прымусовы тунэльны VPN паказваўся як «Абмежавана», хоць трафік ішоў, а спакаваныя праграмы адмаўляліся яго выкарыстоўваць. Індыкатар памыляўся; тунэль працаваў.
Правярайце таму тое, што сапраўды важнае карыстальніку, а не значок. Дабярыцеся да службы па адрасе, потым па назве, потым праз праграму. Кожны крок аддзяляе маршрутызацыю, развязанне імёнаў і палітыку праграм, а катэгорыя ўступае толькі на кроку брэндмаўэра.
Калі катэгорыя правільная, а служба ўсё роўна не працуе, праверце ахоп правілаў. Правіла, напісанае для Прыватнага профілю, перастае супадаць у той момант, калі адаптар становіцца Агульнадаступным, і гэта іншая неспраўнасць, чым правіла, якое ніколі не стваралася.
Запішыце меркаваную катэгорыю, ці прымяняецца яна палітыкай, і адрасы, якім патрэбныя выключэнні. Гэтая нататка адкажа на наступнае паведамленне пра знікаючыя агульныя рэсурсы фактам пра профілі і ахопы, а не чарговай тэорыяй пра тунэль.
Рашэнне маленькае, а наступствы — не. Катэгорыя — гэта селектар брэндмаўэра, і ставіцца да яе як да касметыкі значыць ператвараць працоўную службу ў загадку.