Ukendt netværk på en Windows VPN-adapter: hvad det betyder

Windows viser Ukendt netværk for enhver grænseflade, den ikke kan klassificere til en placering, og en VPN-adapter er en hyppig kandidat, fordi den ofte ikke har sin egen standardgateway. Etiketten er en firewallkategori, ikke en udtalelse om, hvorvidt tunnelen er godkendt, eller om din applikation kan nå noget. At behandle den som en fejlmeddelelse er, hvordan folk ender med at nulstille en adapter, der virker og miste den session, der var i orden. To kommandoer fortæller, om etiketten er værd at ofre opmærksomhed på.

Etiketten er en firewallkategori, ikke en statuslampe

Registrering af netværksplacering afgør, om en grænseflade hører til et domæne, et privat netværk eller et offentligt et, og firewallen anvender derefter regelsættet for den kategori. Ukendt er resultatet, når klassificeringen mislykkes, hvilket normalt placerer grænsefladen i den offentlige profil. Den offentlige profil er den, der som standard blokerer det meste indgående trafik.

Den offentlige er den restriktive profil, så det praktiske spørgsmål er, om din tjeneste er tilladt der. En tunnel kan være helt sund og stadig vise etiketten, fordi klassificeringen afhænger af grænsefladens form, ikke af forbindelsens tilstand.

Den forskel forklarer de mest forvirrende rapporter: en filshare, der virkede i går og ikke i dag, på en adapter, ingen har ændret, fordi en regel var begrænset til den private profil, og grænsefladen nu er i offentlig.

Læs tre ting, før du ændrer noget

Kontroller kategorien, adressekonfigurationen og ruten til destinationen i den rækkefølge. Hvis ressourcen virker, er etiketten kosmetisk for dine formål, og det ærlige svar er at lade den være.

Disse kommandoer udskriver den aktuelle profil, grænsefladeoversigten og konfigurationen for én adapter:

Get-NetConnectionProfile
Get-NetAdapter | Format-Table Name,InterfaceIndex,Status
Get-NetIPConfiguration -InterfaceAlias "My VPN Adapter"

Grænsefladens indeks betyder noget, fordi profil-cmdlettene adresserer grænseflader efter indeks, og en bærbar med en fysisk adapter, en Wi-Fi-adapter og en tunnel har tre. At læse den forkerte giver en selvsikker diagnose af et netværk, ingen bruger.

Hvorfor adapteren overhovedet ser ukendt ud

Klassificeringen leder efter bevis for, at grænsefladen hører til et sted: en domænecontroller, den kan nå, en gateway, der opfører sig som et hjemmenetværk, eller en identitet, der kan slås op. En tunnelegrænseflade har ofte ingen gatewaypost og intet broadcast-domæne, så proberne har intet at arbejde med.

Fuldtunnelklienter undgår nogle gange etiketten ved at tildele en gateway eller ved at bære en rute, som en klassificeringsprobe kan følge. Splittunnelklienter viser den oftere, fordi tunnelen kun bærer de præfikser, den blev konfigureret til, og resten af trafikken forlader andre steder.

Intet af det er en fejl. Det er klassificeringsmotoren, der beskriver en grænseflade, som ikke ligner et LAN, og det er præcis, hvad en tunnel er.

Der, hvor etiketten begynder at betyde noget, er politik. Et administrationsværktøj, en endpoint-agent eller en firewallregel, der vælger efter profil, vil behandle den ukendte grænseflade som offentlig, og den resulterende blokering er reel, selv om årsagen er en etiket.

At ændre kategorien har konsekvenser

At markere grænsefladen som privat er en tillidsbeslutning, og den anvender det private regelsæt på trafik, der ankommer på den adapter. Hvis tunnelen ender hos en udbyder, du ikke kontrollerer, eller hvis enheden kan tilslutte sig utroværdige netværk, udvider den ændring, hvad der er tilgængeligt fra den grænseflade. Den gør også enheden synlig på et netværkssegment, du muligvis ikke ejer. Det er mange konsekvenser for en kosmetisk etiket.

Et bredt script, der sætter enhver ukendt grænseflade til privat, er værre, fordi det anvender samme tillid på adaptere, du aldrig har inspiceret. På en administreret enhed kan ændringen også blive overskrevet af politik ved næste opdatering, så du står med en løsning, der virker, indtil den ikke gør.

Ret den fejlende strøm, ikke navnet

Begynd med en konkret fejl: en share, der ikke åbner, et websted, der ikke indlæses, en printer, der ikke findes. Opdel derefter årsagerne — navneopløsning, rutevalg, firewallomfang og brugerrettigheder fejler på forskellige måder og giver forskellige meddelelser.

Hvis fejlen er et navn, test opløsningen specifikt fra den adapter i stedet for fra maskinen generelt. Hvis det er en rute, udskriv den valgte rute for den præcise destination. Hvis det er firewallen, læs den gældende profil og den regel, der burde tillade trafikken, og afgør derefter, om en snæver regel for programmet er bedre end en kategorieændring.

Først efter at de tre er udelukket, bliver kategorien den sandsynlige årsag, og selv da bør reparationen være den mindste, der får den krævede strøm til at virke. Et mere velkendt netværksnavn er ikke målet; en fungerende share under en godkendt regel er.