Má být adaptér VPN ve Windows privátní, nebo veřejný?
Rozhodněte, zda adaptér VPN ve Windows patří do privátního profilu, pomocí tří testů: důvěryhodná cesta, stabilní klasifikace a pravidla, která skutečně potřebujete.
Nastavit adaptér VPN ve Windows na Privátní je správné pro podnikový tunel a špatné pro klienta komerční VPN a rozdíl není kosmetický. Kategorie sítě vybírá profil brány firewall, takže jedna změna najednou propustí celou sadu pravidel. Viděl jsem přihlašovací skript, který nastavoval každý neidentifikovaný adaptér na Privátní, a ten tiše vystavil sdílení souborů v hotelové bezdrátové síti. Odpověď určují tři podmínky a všechny musí platit, než na nastavení sáhnete.
Co kategorie vlastně určuje
Network Location Awareness sestavuje podpis pro každou připojenou síť z toho, co adaptér umí nahlásit: adresu brány a MAC, příponu DNS, zda odpovídá řadič domény a zda se síť dostane na internet. Windows k tomuto podpisu přiřadí profil a brána firewall pak pro tento profil uplatní sadu pravidel. Veřejná je záložní varianta, když identifikace selže, a proto může funkční tunel zůstat označený jako neidentifikovaná síť.
Adaptér TUN nebo TAP obvykle dává identifikaci velmi málo informací. Protějšek tunelu bývá jedna adresa místo brány, DNS se může posílat jen uvnitř tunelu a adaptér nemá vlastní výchozí trasu. Výsledný štítek popisuje vstup pro bránu firewall, ne stav tunelu, a to je důvod, proč pravidla privátního profilu přestanou odpovídat ve chvíli, kdy se VPN připojí.
Podmínka první: tunel je důvěryhodná cesta
Volba Privátní tvrdí, že vše dostupné přes toto rozhraní je alespoň tak důvěryhodné jako vaše vlastní LAN, protože zjišťování sítě a příchozí pravidla budou tuto podsíť považovat za místní. Pro podnikový tunel do spravované podsítě se souborovými servery a tiskárnami to obvykle platí. Adaptér je dveře do sítě, kterou vaše organizace ovládá, a stroj na druhé straně byl přijat stejnou politikou, která přijala ten váš.
Výstup komerční VPN tento test nesplní. Výstupní podsíť sdílejí další odběratelé a označení za Privátní přenese zjišťování sítě, LLMNR a překlad jmen NetBIOS na segment plný cizích lidí. Selhat může i rozdělený tunel: když adaptér nese jedinou trasu k hostiteli pro jednu aplikaci, není o čem mluvit jako o důvěryhodné podsíti a změna kategorie vám nic nepřinese.
Podmínka druhá: klasifikace přežije opakovaná připojení
Nová brána nebo přípona DNS vytvoří nový podpis a Windows o něm rozhodne znovu. Jednorázový Set-NetConnectionProfile tedy přežije do dalšího připojení, ne navždy. Kontrolujte profil po opětovném připojení, ne po prvním, protože právě tehdy se nastavení samo vrací.
Jsou tři způsoby, jak to udělat trvale. Nejčistší je politika: otevřete secpol.msc, přejděte do Network List Manager Policies a nastavte typ umístění pro síť, včetně politiky pro neidentifikovanou síť, aby se profil uplatňoval politikou, a ne příkazem. Druhým je skript pro každé připojení nebo naplánovaná úloha, která po zvednutí tunelu spustí rutinu PowerShellu. Třetím je starý trik s trasou, který dá identifikaci bránu k otestování:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileTrik s trasou je obejití, ne klasifikace. Rozbije se, když se změní vztah metrik nebo klient VPN při opětovném připojení přepíše trasy, a tiše mění volbu cesty pro vše, co padne na druhou výchozí trasu.
Podmínka třetí: potřebujete sadu privátních pravidel
Privátní profil obvykle nese sdílení souborů a tiskáren, zjišťování sítě a skupiny vzdálené správy. Pokud je úkolem dostat se tunelem ke sdílené složce SMB nebo k tiskárně, to je skutečný důvod ke změně kategorie. Pokud je úkolem odchozí přístup k jedné webové aplikaci, je kategorie irelevantní: napište odchozí pravidlo, ponechte Veřejná a tam skončete.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Čtěte tabulku jako výchozí bod a pak zkontrolujte, která privátní pravidla jsou na vaší sestavě skutečně zapnutá. Zpevněný obraz mohl sdílení souborů z privátního profilu úplně odstranit, a pak změna kategorie ničeho nedosáhne, dokud pravidlo nevrátíte. Ta kontrola stojí jeden příkaz a ušetří dlouhé odpoledne.
Změna bez rozšíření všeho ostatního
Mířte na index rozhraní, ne na zástupný znak, a přečtěte si seznam před a po:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileUložené profily žijí pod klíčem NetworkList v registru, kde hodnota Category odděluje veřejné, privátní a doménové sítě. Upravit ji lze a snadno se to pokazí: musíte změnit záznam odpovídající aktuálnímu podpisu adaptéru, ne starší záznam zanechaný předchozí adresou. Zastaralý záznam vypadá v editoru správně a při opětovném připojení nic nedělá.
Ať děláte cokoli, nevydávejte skript, který nastaví každý neidentifikovaný adaptér na Privátní. To je jednořádková verze otevření zjišťování v nedůvěryhodné bezdrátové síti. Pokud potřebujete sdílení jen s podsítí tunelu, ponechte profil Veřejná a přidejte omezená příchozí pravidla pro rozsah vzdálených adres tunelu; pravidlo brány firewall je užší než kategorie.
Ověřte sdílení, ne štítek
Po změně otestujte samotný prostředek, místo abyste věřili štítku:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.examplePokud sdílení stále selhává, zatímco adaptér ukazuje Privátní, kategorie už není váš problém. Překlad jmen, chybějící trasa nebo oprávnění ke sdílení vyvolají stejný příznak a další změna profilu neopraví ani jedno z toho. Jednou se znovu připojte a znovu spusťte Get-NetConnectionProfile, abyste potvrdili, že nastavení vydrželo, a pak zbývající závadu řešte jako běžný problém SMB.
Kontrolní seznam: potvrďte, že tunel je spravovaná cesta, že profil přežije opětovné připojení, že potřebná privátní pravidla v obraze existují a že se sdílení přeloží a odpovídá na portu 445. Pokud je některá z prvních tří podmínek nepravdivá, ponechte adaptér na Veřejná a vyřešte problém přístupu omezeným pravidlem.