Unbekanntes Netzwerk am Windows-VPN-Adapter: Was das bedeutet

Windows zeigt Unbekanntes Netzwerk für jede Schnittstelle, die es keinem Standort zuordnen kann, und ein VPN-Adapter ist ein typischer Kandidat, weil er oft kein eigenes Standardgateway hat. Das Etikett ist eine Firewall-Kategorie, keine Aussage darüber, ob der Tunnel sich authentifiziert hat oder ob Ihre Anwendung irgendetwas erreicht. Es als Fehlermeldung zu behandeln, ist der Weg, auf dem Leute am Ende einen funktionierenden Adapter zurücksetzen und die Sitzung verlieren, die in Ordnung war. Zwei Befehle sagen Ihnen, ob das Etikett überhaupt Beachtung verdient.

Das Etikett ist eine Firewall-Kategorie, kein Statuslicht

Die Netzwerkstandortermittlung entscheidet, ob eine Schnittstelle zu einer Domäne, einem privaten oder einem öffentlichen Netzwerk gehört, und die Firewall wendet dann den Regelsatz für diese Kategorie an. Unbekannt ist das Ergebnis, wenn die Klassifizierung scheitert, was die Schnittstelle meist ins öffentliche Profil bringt. Das öffentliche Profil ist das, das standardmäßig die meisten eingehenden Daten blockiert.

Öffentlich ist das restriktive Profil, also ist die praktische Frage, ob Ihr Dienst dort erlaubt ist. Ein Tunnel kann völlig gesund sein und das Etikett trotzdem zeigen, weil die Klassifizierung von der Form der Schnittstelle abhängt und nicht vom Zustand der Verbindung.

Dieser Unterschied erklärt die verwirrendsten Meldungen: eine Dateifreigabe, die gestern ging und heute nicht, auf einem Adapter, den niemand geändert hat, weil eine Regel auf das private Profil beschränkt war und die Schnittstelle jetzt im öffentlichen ist.

Lesen Sie drei Dinge, bevor Sie etwas ändern

Prüfen Sie die Kategorie, die Adresskonfiguration und die Route zum Ziel, in dieser Reihenfolge. Wenn die Ressource funktioniert, ist das Etikett für Ihre Zwecke kosmetisch, und die ehrliche Antwort ist, es zu lassen.

Diese Befehle geben das aktuelle Profil, die Schnittstellenübersicht und die Konfiguration eines Adapters aus:

Get-NetConnectionProfile
Get-NetAdapter | Format-Table Name,InterfaceIndex,Status
Get-NetIPConfiguration -InterfaceAlias "My VPN Adapter"

Der Schnittstellenindex zählt, weil die Profil-Cmdlets Schnittstellen über den Index adressieren, und ein Notebook mit physischem Adapter, Wi-Fi-Adapter und Tunnel hat drei davon. Den falschen zu lesen erzeugt eine selbstsichere Diagnose eines Netzwerks, das niemand nutzt.

Warum der Adapter überhaupt unbekannt aussieht

Die Klassifizierung sucht Belege dafür, dass die Schnittstelle irgendwo hingehört: einen Domänencontroller, den sie erreicht, ein Gateway, das sich wie ein Heimnetz verhält, oder eine auflösbare Identität. Eine Tunnelschnittstelle hat oft keinen Gateway-Eintrag und keine Broadcast-Domäne, sodass die Prüfungen nichts haben, womit sie arbeiten können.

Full-Tunnel-Clients vermeiden das Etikett manchmal, indem sie ein Gateway zuweisen oder eine Route führen, der eine Klassifizierungsprüfung folgen kann. Split-Tunnel-Clients zeigen es häufiger, weil der Tunnel nur die Präfixe führt, für die er konfiguriert wurde, und der übrige Datenverkehr woanders hinausgeht.

Nichts davon ist ein Defekt. Die Klassifizierungs-Engine beschreibt eine Schnittstelle, die nicht wie ein LAN aussieht, und genau das ist ein Tunnel.

Wo das Etikett zu zählen beginnt, ist die Richtlinie. Ein Verwaltungswerkzeug, ein Endpoint-Agent oder eine Firewallregel, die nach Profil auswählt, behandelt die unbekannte Schnittstelle als öffentlich, und die daraus folgende Blockade ist real, auch wenn die Ursache ein Etikett ist.

Die Kategorie zu ändern hat Folgen

Die Schnittstelle als privat zu markieren ist eine Vertrauensentscheidung, und sie wendet den privaten Regelsatz auf Datenverkehr an, der an diesem Adapter ankommt. Wenn der Tunnel bei einem Anbieter endet, den Sie nicht kontrollieren, oder wenn das Gerät sich mit nicht vertrauenswürdigen Netzwerken verbinden kann, erweitert diese Änderung, was von dieser Schnittstelle aus erreichbar ist. Sie macht das Gerät außerdem in einem Netzsegment auffindbar, das Sie vielleicht nicht besitzen. Das ist viel Folge für ein kosmetisches Etikett.

Ein breites Skript, das jede unbekannte Schnittstelle auf privat setzt, ist schlimmer, weil es dasselbe Vertrauen auf Adapter anwendet, die Sie nie geprüft haben. Auf einem verwalteten Gerät kann die Änderung bei der nächsten Aktualisierung durch Richtlinien überschrieben werden, und Sie behalten eine Lösung, die funktioniert, bis sie es nicht mehr tut.

Reparieren Sie den scheiternden Fluss, nicht den Namen

Beginnen Sie mit einem konkreten Fehler: eine Freigabe, die sich nicht öffnet, eine Seite, die nicht lädt, ein Drucker, der nicht gefunden wird. Zerlegen Sie dann die Ursachen — Namensauflösung, Routenwahl, Firewallumfang und Benutzerberechtigung scheitern unterschiedlich und erzeugen unterschiedliche Meldungen.

Wenn der Fehler ein Name ist, testen Sie die Auflösung gezielt von diesem Adapter statt vom Rechner allgemein. Wenn es eine Route ist, geben Sie die gewählte Route für das genaue Ziel aus. Wenn es die Firewall ist, lesen Sie das geltende Profil und die Regel, die den Datenverkehr zulassen sollte, und entscheiden Sie dann, ob eine enge, auf das Programm beschränkte Regel besser ist als ein Kategoriewechsel.

Erst nachdem diese drei ausgeschlossen sind, wird die Kategorie zur wahrscheinlichen Ursache, und selbst dann sollte die Reparatur die kleinste sein, die den benötigten Fluss zum Laufen bringt. Ein vertrauterer Netzwerkname ist nicht das Ziel; eine funktionierende Freigabe unter einer genehmigten Regel ist es.