Per què un adaptador VPN acaba sempre al perfil de treball

Connecteu el túnel corporatiu i el portàtil canvia de caràcter en silenci. S’atura el compartit de fitxers, falla la navegació per nom, una aplicació que abans escoltava deixa d’escoltar i la Configuració mostra la connexió com a Feina o No identificada. Hi ha tres maneres de fixar aquesta classificació, i l’elecció entre elles depèn de si el dispositiu està administrat, de si l’etiqueta continua revertint i de si alguna cosa necessita realment descobriment en aquest adaptador.

Què controla realment l’etiqueta

Windows agrupa cada xarxa en una categoria i en tria un perfil de tallafoc. El perfil Públic rebutja el compartit d’entrada, el descobriment i els ports de fitxers i impressores abans que es consulti qualsevol regla que hi afegiu, mentre que Privat en permet més. Les aplicacions que comproven la categoria abans d’exposar un servei veuen el mateix valor.

Es tracta d’una selecció de directiva, no d’una decisió d’encaminament. Una adreça pot ser perfectament abastable i tot i així ser rebutjada perquè el perfil en vigor no conté cap regla coincident, i cap reparació d’encaminament ho canviarà. Dues preguntes diferents, dues eines diferents. Barrejar-les és la raó més habitual perquè una solució sembli funcionar i després s’aturi.

La categoria s’emmagatzema per xarxa, i la xarxa s’identifica mitjançant una signatura. En una LAN corrent aquesta signatura inclou l’adreça de maquinari de la passarel·la predeterminada i el sufix DNS de la connexió, i un adaptador VPN normalment no té cap de les dues. Una signatura feble significa que el mateix túnel pot semblar una xarxa nova després d’actualitzar el client.

Per això l’etiqueta sembla canviar tota sola. Windows no actua per caprici; el que passa és que no reconeix el túnel com la xarxa que va classificar la setmana passada.

Tres condicions que decideixen l’enfocament

La primera condició és la propietat. En un portàtil administrat el paràmetre sovint està bloquejat, i una edició local se substitueix en la propera actualització de directiva. Barallar-s’hi és perdre una tarda; la directiva és el canal admès i l’únic que es manté.

La segona condició és la recurrència. Si l’etiqueta ha revertit més d’una vegada, el valor per xarxa es reconstrueix a partir d’una signatura que ha canviat, i editar-lo de nou no durarà. Els valors de directiva viuen en una branca separada que té prioritat sobre els valors per usuari que Windows reconstrueix cada cop que l’adaptador es torna a connectar.

La tercera condició és la necessitat. Alguns entorns requereixen de debò resolució de noms i descobriment a través del túnel, i aquests volen regles de tallafoc estretes per a adreces concretes en lloc de tot un adaptador passat a Privat. Canviar la categoria per fer funcionar un sol servei és com un túnel acaba exposant més del previst.

Responeu les tres condicions i l’elecció es fa sola. Dues que apunten a la directiva volen dir directiva, i una que apunta a una prova puntual vol dir una edició local que pensa descartar.

Fixeu-lo i després llegiu quin perfil està en vigor

La directiva de seguretat local exposa el paràmetre a Directives de l’Administrador de la llista de xarxes. Obriu secpol.msc, desplegueu aquest node, obriu l’entrada de la xarxa del túnel, poseu el tipus d’ubicació a Públic i ajusteu el permís d’usuari perquè la ubicació no es pugui canviar. Aquests paràmetres van a la branca Directives d’aquest mateix arbre, i per això tenen prioritat sobre els valors per usuari que una reconnexió reescriu.

Públic sol ser el correcte per a un adaptador VPN, perquè bloqueja per defecte el compartit d’entrada i el descobriment. És l’opció conservadora per a un túnel que pot caure en un segment no fiable, i més endavant es pot relaxar amb regles concretes en lloc de canviar la categoria. Ampliar la categoria per arreglar un servei és un intercanvi que no es desfà fàcilment. Una regla s’elimina en segons.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

La primera ordre informa la categoria en vigor i no la del quadre de diàleg, i aquest és el valor que decideix el comportament del tallafoc. La segona confirma que el perfil aplicat està activat i en quin us esteu basant realment.

Fixeu-vos en què no demostra la parella. Cap de les dues ordres mostra si hi ha una regla d’entrada concreta, així que un servei que encara no respon necessita una revisió de regles i no un altre canvi de categoria.

Quan el símptoma no és la categoria

Un indicador de xarxa pot quedar-se enrere respecte de la connexió, i versions antigues de Windows tenien un defecte documentat pel qual una VPN de túnel forçat apareixia com a Limitada mentre el trànsit fluïa i les aplicacions empaquetades s’hi negaven a fer-la servir. L’indicador s’equivocava; el túnel funcionava.

Així que proveu el que de debò importa a l’usuari en lloc de la icona. Arribeu al servei per adreça, després per nom i després a través de l’aplicació. Cada pas separa encaminament, resolució i directiva d’aplicacions, i la categoria només entra al pas del tallafoc.

Si la categoria és correcta i el servei continua fallant, reviseu l’abast de les regles. Una regla escrita per al perfil Privat deixa de coincidir en el moment que l’adaptador és Públic, i això és una fallada diferent d’una regla que no es va crear mai.

Anoteu la categoria prevista, si està imposada per directiva i les adreces que necessiten excepcions. Aquesta nota respon al proper informe sobre compartits que desapareixen amb un fet sobre perfils i abasts en lloc d’una altra teoria sobre el túnel.

La decisió és petita i les conseqüències no ho són. Una categoria és un selector de tallafoc, i tractar-la com una cosa cosmètica és com un servei que funciona es converteix en un misteri.