A ddylai addasydd VPN Windows fod yn breifat neu'n gyhoeddus?
Penderfynwch a yw addasydd VPN Windows yn perthyn i'r proffil preifat gyda thri phrawf: llwybr dibynadwy, dosbarthiad sefydlog a rheolau sydd eu hangen arnoch.
Mae gosod addasydd VPN Windows i Breifat yn iawn ar gyfer twnnel corfforaethol ac yn anghywir ar gyfer cleient VPN masnachol, ac nid yw'r gwahaniaeth yn addurnol. Mae categori'r rhwydwaith yn dewis proffil wal dân, felly mae un newid yn derbyn set gyfan o reolau ar unwaith. Gwelais sgript fewngofnodi yn gosod pob addasydd anadnabyddus i Breifat, a oedd yn ddistaw yn datgelu rhannu ffeiliau ar rwydwaith diwifr gwesty. Mae tair amod yn penderfynu'r ateb, a rhaid i bob un fod yn wir cyn i chi gyffwrdd â'r gosodiad.
Beth mae'r categori yn ei benderfynu mewn gwirionedd
Mae Network Location Awareness yn adeiladu llofnod ar gyfer pob rhwydwaith cysylltiedig o'r hyn y gall yr addasydd ei adrodd: cyfeiriad y giât a MAC, yr ôl-ddodiad DNS, a yw rheolydd parth yn ateb, ac a yw'r rhwydwaith yn cyrraedd y rhyngrwyd. Mae Windows yn cysylltu proffil â'r llofnod hwnnw, ac yna mae'r wal dân yn cymhwyso'r set reolau ar gyfer y proffil hwnnw. Cyhoeddus yw'r ateb wrth gefn pan fydd adnabyddiaeth yn methu, a dyna pam y gall twnnel sy'n gweithio gael ei labelu'n rhwydwaith anadnabyddus o hyd.
Yn gyffredinol, ychydig iawn o ddata y mae addasydd TUN neu TAP yn ei roi i adnabyddiaeth. Mae partner y twnnel yn aml yn un cyfeiriad yn hytrach na giât, efallai mai dim ond y tu mewn i'r twnnel y gwthir DNS, ac nid oes gan yr addasydd lwybr diofyn ei hun. Mae'r label sy'n deillio o hyn yn disgrifio mewnbwn y wal dân, nid iechyd y twnnel, a dyna'r rheswm y mae rheolau'r proffil preifat yn peidio â chyfateb yr eiliad y bydd y VPN yn cysylltu.
Amod un: y twnnel yw'r llwybr dibynadwy
Mae dewis Preifat yn honni bod popeth y gellir ei gyrraedd drwy'r rhyngwyneb hwn o leiaf mor ddibynadwy â'ch LAN eich hun, oherwydd bydd darganfod a rheolau mewnddyfodol yn trin y subnwyd honno fel un leol. Ar gyfer twnnel corfforaethol i subnwyd a reolir gyda gweinyddwyr ffeiliau ac argraffwyr, mae'r honiad fel arfer yn wir. Mae'r addasydd yn ddrws i rwydwaith y mae eich sefydliad yn ei reoli, a chafodd y peiriant ar yr ochr arall ei dderbyn gan yr un polisi a dderbyniodd eich un chi.
Mae allanfa VPN masnachol yn methu'r prawf hwn. Mae tanysgrifwyr eraill yn rhannu'r subnwyd allanfa, ac mae ei nodi'n Breifat yn rhoi darganfod rhwydwaith, LLMNR a datrysiad enwau NetBIOS ar segment llawn dieithriaid. Gall twnnel hollt fethu hefyd: pan fydd yr addasydd yn cario un llwybr gwesteiwr i un cymhwysiad, nid oes subnwyd ddibynadwy i sôn amdani, ac nid yw'r newid categori yn rhoi dim i chi.
Amod dau: mae'r dosbarthiad yn goroesi ailgysylltiadau
Mae giât newydd neu ôl-ddodiad DNS yn cynhyrchu llofnod newydd, ac mae Windows yn gwneud penderfyniad proffil newydd ar ei gyfer. Felly mae Set-NetConnectionProfile unwaith yn para tan yr ailgysylltiad nesaf, nid am byth. Gwiriwch y proffil ar ôl ailgysylltu yn hytrach nag ar ôl y cysylltiad cyntaf, oherwydd dyna pryd y mae'r gosodiad yn dychwelyd ar ei ben ei hun.
Mae tair ffordd o'i wneud yn barhaol. Y ffordd lânaf yw polisi: agorwch secpol.msc, ewch i Network List Manager Policies, a gosodwch y math lleoliad ar gyfer y rhwydwaith, gan gynnwys y polisi ar gyfer rhwydwaith anadnabyddus, fel bod y proffil yn cael ei gymhwyso gan bolisi yn hytrach na chan orchymyn. Yr ail yw sgript fesul cysylltiad neu dasg a drefnwyd sy'n rhedeg cmdlet PowerShell ar ôl i'r twnnel godi. Y trydydd yw'r hen dric llwybr, sy'n rhoi giât i adnabyddiaeth ei phrofi:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileMae'r tric llwybr yn ateb dros dro, nid yn ddosbarthiad. Mae'n torri pan fydd y berthynas fetrig yn newid neu pan fydd cleient y VPN yn ailysgrifennu llwybrau wrth ailgysylltu, ac mae'n newid dewis llwybr yn ddistaw ar gyfer unrhyw beth sy'n disgyn i'r ail lwybr diofyn.
Amod tri: mae arnoch angen y set reolau preifat
Mae Preifat fel arfer yn cario Rhannu Ffeiliau ac Argraffwyr, Darganfod Rhwydwaith a'r grwpiau gweinyddu anghysbell. Os mai'r dasg yw cyrraedd rhaniad SMB neu argraffydd drwy'r twnnel, dyna'r gwir reswm dros newid y categori. Os mai'r dasg yw mynediad allanol i un cymhwysiad gwe, mae'r categori'n amherthnasol: ysgrifennwch y rheol allanol, cadwch Gyhoeddus, ac ataliwch yno.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Darllenwch y tabl fel man cychwyn, yna gwiriwch pa reolau preifat sydd wirioneddol wedi'u galluogi ar eich delwedd. Efallai bod delwedd galed wedi tynnu rhannu ffeiliau'n gyfan gwbl o'r proffil preifat, ac yn y cyfryw achos nid yw'r newid categori yn cyflawni dim nes i chi roi'r rheol yn ôl. Mae'r gwiriad hwnnw'n cymryd un gorchymyn ac yn arbed prynhawn hir.
Gwneud y newid heb ehangu popeth arall
Targedwch y mynegai rhyngwyneb, nid nod chwilio, a darllenwch y rhestr cyn ac ar ôl:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileMae proffiliau wedi'u storio yn byw o dan allwedd NetworkList yn y gofrestr, lle mae gwerth Category yn gwahanu rhwydweithiau cyhoeddus, preifat a pharth. Mae ei olygu'n bosibl ac yn hawdd ei wneud yn anghywir: rhaid i chi newid y cofnod sy'n cyfateb i lofnod presennol yr addasydd, nid cofnod hŷn a adawyd gan gyfeiriad blaenorol. Mae cofnod hen yn edrych yn gywir yn y golygydd ac yn gwneud dim wrth ailgysylltu.
Beth bynnag a wnewch, peidiwch â chludo sgript sy'n gosod pob addasydd anadnabyddus i Breifat. Dyna'r fersiwn un-linell o agor darganfyddiad ar rwydwaith diwifr annibynadwy. Os oes arnoch angen rhannu gyda subnwyd y twnnel yn unig, cadwch y proffil yn Gyhoeddus ac ychwanegwch reolau mewnddyfodol wedi'u cyfyngu i amrediad cyfeiriadau anghysbell y twnnel; mae'r rheol wal dân yn gulach na'r categori.
Gwiriwch y rhaniad, nid y label
Ar ôl y newid, profwch yr adnodd ei hun yn hytrach na dibynnu ar y label:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleOs yw'r rhaniad yn dal i fethu tra bo'r addasydd yn dangos Preifat, nid y categori yw eich problem mwyach. Bydd datrysiad enwau, llwybr coll neu hawliau rhannu yn cynhyrchu'r un symptom, ac ni all newid y proffil eto atgyweirio unrhyw un ohonynt. Ailgysylltwch unwaith a rhedeg Get-NetConnectionProfile eto i gadarnhau bod y gosodiad wedi dal, yna triniwch y methiant sy'n weddill fel problem SMB arferol.
Rhestr wirio: cadarnhewch fod y twnnel yn llwybr a reolir, bod y proffil yn goroesi ailgysylltiad, bod y rheolau preifat sydd eu hangen arnoch yn bodoli ar y ddelwedd, a bod y rhaniad yn datrys ac yn ateb ar borth 445. Os yw unrhyw un o'r tri cyntaf yn anghywir, gadewch yr addasydd ar Gyhoeddus a datryswch y broblem fynediad â rheol gyfyng.