Защо VPN адаптерът винаги попада в работния профил

Свържете корпоративния тунел и лаптопът тихо променя характера си. Споделянето на файлове спира, търсенето по име се проваля, приложение, което преди слушаше, спира да слуша, а Настройки показват връзката като Работна или Неидентифицирана. Има три начина да се закрепи тази класификация и изборът между тях зависи от това дали устройството се управлява, дали етикетът продължава да се връща и дали нещо на този адаптер наистина се нуждае от откриване.

Какво всъщност контролира етикетът

Windows групира всяка мрежа в категория и избира от нея профил на защитната стена. Общественият профил отказва входящо споделяне, откриване и портовете за файлове и принтери, преди да бъде разгледано дори едно добавено от вас правило, докато Частният позволява повече. Приложенията, които проверяват категорията преди да изложат услуга, виждат същата стойност.

Това е избор на политика, а не решение за маршрутизиране. Адресът може да е напълно достъпен и въпреки това отказан, защото действащият профил не съдържа подходящо правило, и никакво поправяне на маршрутите няма да промени това. Два различни въпроса, два различни инструмента. Смесването им е най-честата причина една поправка да изглежда, че работи, и след това да спре.

Категорията се съхранява за всяка мрежа, а мрежата се идентифицира с подпис. В обикновена локална мрежа този подпис включва хардуерния адрес на шлюза по подразбиране и DNS наставката на връзката, а на VPN адаптера обикновено липсват и двете. Слабият подпис означава, че същият тунел може да изглежда като нова мрежа след актуализация на клиента.

Затова изглежда, че етикетът се променя сам. Windows не е капризен; просто не разпознава тунела като мрежата, която е класифицирал миналата седмица.

Три условия, които решават подхода

Първото условие е собствеността. На управляван лаптоп настройката често е заключена и локалната промяна ще бъде презаписана при следващото обновяване на политиката. Борбата с това струва един следобед; политиката е поддържаният канал и единственият, който се задържа.

Второто условие е повторяемостта. Ако етикетът се е връщал повече от веднъж, стойността за мрежата се изгражда наново от променен подпис и повторното редактиране няма да се задържи. Стойностите на политиката живеят в отделен клон, който има предимство пред потребителските стойности, които Windows изгражда наново при всяко повторно свързване на адаптера.

Третото условие е нуждата. Някои среди наистина изискват разрешаване на имена и откриване през тунела и те искат тесни правила на защитната стена за конкретни адреси, а не цял адаптер, преместен в Частен. Превключването на категорията, за да работи една услуга, е начинът, по който тунелът в крайна сметка разкрива повече от предвиденото.

Отговорете на трите условия и изборът се прави сам. Две, които сочат към политиката, означават политика, а едно, което сочи към еднократен тест, означава локална промяна, която възнамерявате да изхвърлите.

Закрепете го и след това прочетете кой профил е в сила

Локалната политика за сигурност показва настройката в раздел Политики за списъка с мрежи. Отворете secpol.msc, разгънете този възел, отворете записа за мрежата на тунела, задайте типа местоположение на Обществено и задайте потребителското разрешение така, че местоположението да не може да се променя. Тези настройки попадат в клона Политики на същото дърво, затова имат предимство пред потребителските стойности, които повторното свързване презаписва.

Общественият профил обикновено е правилният за VPN адаптер, защото по подразбиране блокира входящото споделяне и откриването. Това е предпазливият избор за тунел, който може да попадне в ненадежден сегмент, и по-късно може да бъде облекчен с конкретни правила вместо със смяна на категорията. Разширяването на категорията, за да се поправи една услуга, е размяна, която не се обръща лесно. Правило се премахва за секунди.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Първата команда отчита действащата категория, а не тази в диалоговия прозорец, и точно тази стойност определя поведението на защитната стена. Втората потвърждава, че прилаганият профил е включен и на кой всъщност разчитате.

Обърнете внимание какво не доказва двойката. Нито една от командите не показва дали съществува конкретно входящо правило, затова услуга, която още не отговаря, се нуждае от проверка на правилата, а не от още една смяна на категорията.

Когато симптомът не е категорията

Мрежовият индикатор може да изостава от връзката и по-старите версии на Windows имаха документиран дефект, при който принудителен тунелен VPN се показваше като Ограничен, докато трафикът течеше, а пакетираните приложения отказваха да го използват. Индикаторът грешеше; тунелът работеше.

Затова тествайте това, което наистина е важно за потребителя, а не иконата. Стигнете до услугата по адрес, после по име, после през приложението. Всяка стъпка разделя маршрутизирането, разрешаването и политиката за приложения, а категорията влиза едва на стъпката на защитната стена.

Ако категорията е правилна и услугата все още се проваля, проверете обхвата на правилата. Правило, написано за профила Частен, спира да съвпада в момента, в който адаптерът е Обществен, и това е друга неизправност от правило, което никога не е създавано.

Запишете предвидената категория, дали се налага от политика и адресите, които се нуждаят от изключения. Тази бележка отговаря на следващия доклад за изчезващи споделяния с факт за профилите и обхватите, а не с още една теория за тунела.

Решението е малко, а последствията не. Категорията е селектор на защитната стена и да се отнасяте към нея като към козметика означава работеща услуга да се превърне в загадка.