L'adaptador VPN de Windows ha de ser privat o públic?
Decidiu si un adaptador VPN de Windows pertany al perfil privat amb tres proves: camí de confiança, classificació estable i regles que realment necessiteu.
Posar un adaptador VPN de Windows en Privat és correcte per a un túnel corporatiu i incorrecte per a un client VPN comercial, i la diferència no és cosmètica. La categoria de xarxa selecciona un perfil de tallafocs, de manera que un sol canvi admet tot un conjunt de regles alhora. He vist un script d'inici de sessió que posava tots els adaptadors no identificats en Privat, cosa que va exposar silenciosament el compartiment de fitxers en una xarxa sense fils d'un hotel. Tres condicions decideixen la resposta, i totes s'han de complir abans de tocar el paràmetre.
Què decideix realment la categoria
Network Location Awareness construeix una signatura per a cada xarxa connectada a partir del que l'adaptador pot informar: l'adreça de la passarel·la i la MAC, el sufix DNS, si respon un controlador de domini i si la xarxa arriba a internet. Windows adjunta un perfil a aquesta signatura, i després el tallafocs aplica el conjunt de regles d'aquest perfil. Públic és el valor de reserva quan la identificació falla, i per això un túnel que funciona encara pot quedar etiquetat com a xarxa no identificada.
Un adaptador TUN o TAP normalment dona molt poca informació a la identificació. L'extrem del túnel sovint és una sola adreça en lloc d'una passarel·la, el DNS pot arribar només dins del túnel, i l'adaptador no té cap ruta per defecte pròpia. L'etiqueta resultant descriu l'entrada del tallafocs, no la salut del túnel, i és la raó per la qual les regles del perfil privat deixen de coincidir en el moment que el VPN es connecta.
Condició primera: el túnel és el camí de confiança
Triar Privat afirma que tot el que és abastable per aquesta interfície és almenys tan fiable com la vostra LAN, perquè el descobriment i les regles d'entrada tractaran aquesta subxarxa com a local. Per a un túnel corporatiu cap a una subxarxa gestionada amb servidors de fitxers i impressores, l'afirmació normalment es compleix. L'adaptador és una porta cap a una xarxa que controla la vostra organització, i la màquina de l'altre costat va ser admesa per la mateixa política que va admetre la vostra.
Una sortida VPN comercial no supera aquesta prova. Altres subscriptors comparteixen la subxarxa de sortida, i marcar-la com a Privat posa el descobriment de xarxa, l'LLMNR i la resolució de noms NetBIOS en un segment ple de desconeguts. El túnel dividit també pot fallar: quan l'adaptador porta una única ruta d'amfitrió cap a una aplicació, no hi ha cap subxarxa de confiança de la qual parlar, i el canvi de categoria no us aporta res.
Condició segona: la classificació sobreviu a les reconnexions
Una passarel·la o un sufix DNS nous produeixen una signatura nova, i Windows pren una decisió de perfil nova per a ella. Per tant, un Set-NetConnectionProfile puntual sobreviu fins a la propera reconnexió, no per sempre. Comproveu el perfil després d'una reconnexió i no després de la primera connexió, perquè és llavors quan el paràmetre reverteix sol.
Hi ha tres maneres de fer-ho durador. La més neta és la política: obriu secpol.msc, aneu a Network List Manager Policies i definiu el tipus d'ubicació de la xarxa, inclosa la política de xarxa no identificada, perquè el perfil s'apliqui per política i no per ordre. La segona és un script per connexió o una tasca programada que executi el cmdlet de PowerShell quan el túnel puja. La tercera és el vell truc de la ruta, que dona a la identificació una passarel·la per sondejar:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileEl truc de la ruta és una solució provisional, no una classificació. Es trenca quan canvia la relació de mètriques o el client VPN reescriu les rutes en reconnectar, i canvia silenciosament la selecció de camí per a tot el que caigui a la segona ruta per defecte.
Condició tercera: necessiteu el conjunt de regles privades
Privat normalment porta el compartiment de fitxers i impressores, el descobriment de xarxa i els grups d'administració remota. Si la tasca és arribar a un recurs compartit SMB o a una impressora a través del túnel, aquesta és la raó real per canviar la categoria. Si la tasca és accés de sortida a una aplicació web, la categoria és irrellevant: escriviu la regla de sortida, manteniu Públic i atureu-vos aquí.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Llegiu la taula com a punt de partida i després comproveu quines regles privades estan realment activades a la vostra imatge. Una imatge endurida pot haver eliminat del tot el compartiment de fitxers del perfil privat, i en aquest cas el canvi de categoria no aconsegueix res fins que torneu a afegir la regla. Aquesta comprovació costa una ordre i estalvia una tarda llarga.
Fer el canvi sense ampliar tota la resta
Apunteu a l'índex d'interfície, no a un comodí, i llegiu la llista abans i després:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileEls perfils desats viuen sota la clau NetworkList del registre, on el valor Category separa les xarxes públiques, privades i de domini. Editar-lo és possible i fàcil de fer malament: heu de canviar l'entrada que coincideix amb la signatura actual de l'adaptador, no una entrada antiga que va deixar una adreça anterior. Una entrada obsoleta sembla correcta a l'editor i no fa res en reconnectar.
Feu el que feu, no distribuïu un script que posi tots els adaptadors no identificats en Privat. Aquesta és la versió d'una línia d'obrir el descobriment en una xarxa sense fils no confiable. Si només necessiteu compartiment amb la subxarxa del túnel, manteniu el perfil Públic i afegiu regles d'entrada limitades al rang d'adreces remotes del túnel; la regla de tallafocs és més estreta que la categoria.
Verifiqueu el recurs compartit, no l'etiqueta
Després del canvi, proveu el recurs mateix en lloc de confiar en l'etiqueta:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleSi el recurs compartit encara falla mentre l'adaptador mostra Privat, la categoria ja no és el vostre problema. La resolució de noms, una ruta que falta o els permisos del recurs compartit produiran el mateix símptoma, i tornar a canviar el perfil no pot reparar-ne cap. Reconnecteu-vos una vegada i torneu a executar Get-NetConnectionProfile per confirmar que el paràmetre s'ha mantingut, i després tracteu la fallada restant com un problema SMB normal.
Llista de comprovació: confirmeu que el túnel és un camí gestionat, que el perfil sobreviu a una reconnexió, que les regles privades que necessiteu existeixen a la imatge i que el recurs compartit es resol i respon al port 445. Si qualsevol de les tres primeres és falsa, deixeu l'adaptador en Públic i resoleu el problema d'accés amb una regla limitada.