Proč adaptér VPN vždy skončí v pracovním profilu

Připojte firemní tunel a notebook tiše změní charakter. Sdílení souborů se zastaví, procházení podle názvu selže, aplikace, která dříve naslouchala, přestane naslouchat a Nastavení zobrazují připojení jako Pracovní nebo Neidentifikované. Existují tři způsoby, jak toto zařazení zafixovat, a volba mezi nimi závisí na tom, zda je zařízení spravované, zda se štítek stále vrací a zda na tomto adaptéru něco skutečně potřebuje zjišťování.

Co štítek ve skutečnosti řídí

Windows zařadí každou síť do kategorie a z ní vybere profil brány firewall. Veřejný profil odmítá příchozí sdílení, zjišťování a porty pro soubory a tiskárny dříve, než se vůbec zohlední jakékoli pravidlo, které přidáte, zatímco Soukromý dovoluje více. Aplikace, které kategorii kontrolují před vystavením služby, vidí stejnou hodnotu.

Jde o volbu zásady, ne o rozhodnutí o směrování. Adresa může být dokonale dostupná a přesto odmítnutá, protože platný profil neobsahuje odpovídající pravidlo, a žádná oprava tras to nezmění. Dvě různé otázky, dva různé nástroje. Jejich míchání je nejčastějším důvodem, proč oprava vypadá, že funguje, a pak přestane.

Kategorie se ukládá pro každou síť a síť je identifikována podpisem. V běžné místní síti tento podpis zahrnuje hardwarovou adresu výchozí brány a příponu DNS připojení, a adaptéru VPN obvykle chybí obojí. Slabý podpis znamená, že stejný tunel může po aktualizaci klienta vypadat jako nová síť.

Proto se zdá, že se štítek mění sám. Windows není vrtošivý; jen nerozpoznává tunel jako síť, kterou zařadil minulý týden.

Tři podmínky, které rozhodují o přístupu

První podmínkou je vlastnictví. Na spravovaném notebooku je nastavení často uzamčené a místní úprava bude přepsána při dalším obnovení zásad. Bojovat s tím znamená ztratit odpoledne; zásada je podporovaný kanál a jediný, který vydrží.

Druhou podmínkou je opakování. Pokud se štítek vrátil více než jednou, hodnota pro síť se znovu vytváří z podpisu, který se změnil, a další úprava nevydrží. Hodnoty zásad žijí v samostatné větvi, která převažuje nad hodnotami pro uživatele, jež Windows znovu vytváří při každém opětovném připojení adaptéru.

Třetí podmínkou je potřeba. Některá prostředí skutečně vyžadují překlad názvů a zjišťování přes tunel, a ta chtějí úzká pravidla brány firewall pro konkrétní adresy, ne celý adaptér přesunutý do Soukromého. Přepnutí kategorie, aby jedna služba fungovala, je způsob, jakým tunel nakonec odhalí víc, než bylo zamýšleno.

Odpovězte na tři podmínky a volba se udělá sama. Dvě ukazující na zásadu znamenají zásadu a jedna ukazující na jednorázový test znamená místní úpravu, kterou hodláte zahodit.

Zafixujte to a poté si přečtěte, který profil platí

Zásady zabezpečení místního počítače zobrazují nastavení v části Zásady seznamu sítí. Otevřete secpol.msc, rozbalte tento uzel, otevřete položku pro síť tunelu, nastavte typ umístění na Veřejné a nastavte oprávnění uživatele tak, aby umístění nešlo změnit. Tato nastavení končí ve větvi Zásady stejného stromu, a proto převažují nad hodnotami pro uživatele, které opětovné připojení přepíše.

Veřejné je pro adaptér VPN obvykle správné, protože ve výchozím nastavení blokuje příchozí sdílení a zjišťování. Je to opatrná volba pro tunel, který může skončit v nedůvěryhodném segmentu, a lze jej později uvolnit konkrétními pravidly místo změny kategorie. Rozšíření kategorie kvůli opravě jedné služby je výměna, kterou nelze snadno vrátit. Pravidlo se odstraní během sekund.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

První příkaz hlásí platnou kategorii, ne tu v dialogovém okně, a právě tato hodnota rozhoduje o chování brány firewall. Druhý potvrzuje, že používaný profil je povolený a na který se skutečně spoléháte.

Všimněte si, co tato dvojice neprokazuje. Ani jeden příkaz neukazuje, zda existuje konkrétní příchozí pravidlo, takže služba, která stále neodpovídá, potřebuje kontrolu pravidel, ne další změnu kategorie.

Když příznakem není kategorie

Indikátor sítě může zaostávat za připojením a starší verze Windows měly zdokumentovanou vadu, kdy se vynucený tunelový VPN zobrazoval jako Omezený, zatímco provoz plynul a zabalené aplikace jej odmítaly používat. Indikátor se mýlil; tunel fungoval.

Testujte tedy to, na čem uživateli skutečně záleží, ne ikonu. Dostáhněte služby podle adresy, pak podle názvu a pak přes aplikaci. Každý krok odděluje směrování, překlad a zásady aplikací a kategorie vstupuje až v kroku brány firewall.

Pokud je kategorie správná a služba stále selhává, zkontrolujte rozsah pravidel. Pravidlo napsané pro profil Soukromý přestane odpovídat v okamžiku, kdy je adaptér Veřejný, a to je jiná závada než pravidlo, které nikdy nevzniklo.

Zaznamenejte zamýšlenou kategorii, zda je vynucena zásadou, a adresy, které potřebují výjimky. Tato poznámka odpovídá na příští hlášení o mizejících sdíleních faktem o profilech a rozsazích, ne další teorií o tunelu.

Rozhodnutí je malé a následky ne. Kategorie je selektor brány firewall a považovat ji za kosmetiku je způsob, jak se z fungující služby stane záhada.