Hvorfor en VPN-adapter altid ender i arbejdsprofilen

Tilslut virksomhedens tunnel, og den bærbare ændrer stille karakter. Fildeling stopper, navnegennemgang fejler, et program der plejede at lytte holder op med at lytte, og Indstillinger viser forbindelsen som Arbejde eller Ikke identificeret. Der findes tre måder at fastlåse den klassificering, og valget afhænger af, om enheden er administreret, om etiketten bliver ved med at rulle tilbage, og om noget reelt har brug for opdagelse på den adapter.

Hvad etiketten egentlig styrer

Windows grupperer hvert netværk i en kategori og vælger en firewallprofil ud fra den. Den offentlige profil afviser indgående fildeling, opdagelse og porte til filer og printere, før nogen regel du tilføjer overhovedet bliver læst, mens Privat tillader mere. Programmer, der tjekker kategorien før de udstiller en tjeneste, ser den samme værdi.

Det er et politikvalg, ikke en routingbeslutning. En adresse kan være fuldt ud tilgængelig og alligevel blive afvist, fordi den gældende profil ikke indeholder en matchende regel, og ingen rutingreparation ændrer det. To forskellige spørgsmål, to forskellige værktøjer. At blande dem er den hyppigste grund til, at en løsning ser ud til at virke og derefter holder op.

Kategorien gemmes pr. netværk, og netværket identificeres ved en signatur. På et almindeligt LAN omfatter signaturen standardgatewayens hardwareadresse og forbindelsens DNS-suffiks, og en VPN-adapter mangler typisk begge. En svag signatur betyder, at den samme tunnel kan se ud som et nyt netværk efter en klientopdatering.

Derfor ser etiketten ud til at ændre sig af sig selv. Windows er ikke lunefuldt; det undlader at genkende tunnelen som det netværk, det klassificerede i sidste uge.

Tre betingelser der afgør tilgangen

Den første betingelse er ejerskab. På en administreret bærbar er indstillingen ofte låst, og en lokal ændring bliver overskrevet ved næste politikopdatering. At kæmpe imod det koster en eftermiddag; politikken er den understøttede kanal og den eneste, der holder.

Den anden betingelse er gentagelse. Hvis etiketten er rullet tilbage mere end én gang, bliver værdien pr. netværk genopbygget ud fra en signatur, der har ændret sig, og en ny redigering holder ikke. Politikværdier ligger i en separat gren, der overtrumfer de brugerværdier, Windows genopbygger, hver gang adapteren tilsluttes igen.

Den tredje betingelse er behovet. Nogle miljøer kræver reelt navneopløsning og opdagelse gennem tunnelen, og de vil have snævre firewallregler for bestemte adresser i stedet for en hel adapter flyttet til Privat. At skifte kategori for at få én tjeneste til at virke er måden, hvorpå en tunnel ender med at udstille mere end tilsigtet.

Besvar de tre betingelser, og valget træffer sig selv. To der peger på politik betyder politik, og én der peger på en engangstest betyder en lokal ændring, du agter at kassere.

Fastlås det, og læs derefter hvilken profil der gælder

Lokal sikkerhedspolitik viser indstillingen under Politikker for netværkslisten. Åbn secpol.msc, udvid den knude, åbn posten for tunnelens netværk, sæt placeringstypen til Offentlig, og sæt brugertilladelsen, så placeringen ikke kan ændres. De indstillinger lander i grenen Politikker i samme træ, og derfor overtrumfer de de brugerværdier, som en gentilslutning skriver om.

Offentlig er normalt rigtigt for en VPN-adapter, fordi den som standard blokerer indgående fildeling og opdagelse. Det er det forsigtige valg til en tunnel, der kan ende på et ikke-betroet segment, og den kan senere lempes med bestemte regler i stedet for et kategoriskift. At udvide kategorien for at reparere én tjeneste er en handel, du ikke let kan gøre om. En regel fjernes på sekunder.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Den første kommando rapporterer den gældende kategori og ikke den i dialogboksen, og det er det tal, der afgør firewallens adfærd. Den anden bekræfter, at den anvendte profil er aktiveret, og hvilken du faktisk støtter dig til.

Bemærk, hvad parret ikke beviser. Ingen af kommandoerne viser, om en bestemt indgående regel findes, så en tjeneste, der stadig ikke svarer, kræver et regelcheck og ikke endnu en kategoriændring.

Når symbolet ikke er kategorien

En netværksindikator kan halte bagefter forbindelsen, og ældre Windows-versioner havde en dokumenteret fejl, hvor en tvungen tunnel-VPN viste sig som Begrænset, mens trafikken flød og pakkede programmer nægtede at bruge den. Indikatoren tog fejl; tunnelen virkede.

Så test det, brugeren faktisk er interesseret i, i stedet for ikonet. Nå tjenesten via adresse, derefter via navn og derefter gennem programmet. Hvert trin adskiller routing, opløsning og programpolitik, og kategorien kommer først ind ved firewalltrinnet.

Hvis kategorien er korrekt, og tjenesten stadig fejler, så tjek reglernes omfang. En regel skrevet til profilen Privat holder op med at matche i det øjeblik, adapteren er Offentlig, og det er en anden fejl end en regel, der aldrig blev oprettet.

Noter den tilsigtede kategori, om den håndhæves af politik, og de adresser, der har brug for undtagelser. Den note besvarer den næste rapport om forsvindende delinger med et faktum om profiler og omfang i stedet for endnu en teori om tunnelen.

Beslutningen er lille, og konsekvenserne er det ikke. En kategori er en firewallvælger, og at behandle den som kosmetik er måden, hvorpå en fungerende tjeneste bliver et mysterium.