Warum ein VPN-Adapter immer wieder im Arbeitsprofil landet

Verbinden Sie den Firmentunnel, und der Laptop ändert still seinen Charakter. Die Dateifreigabe stoppt, das Durchsuchen von Namen scheitert, eine Anwendung, die zuvor gelauscht hat, lauscht nicht mehr, und in den Einstellungen erscheint die Verbindung als Arbeits- oder Nicht identifiziertes Netzwerk. Es gibt drei Wege, diese Einstufung festzulegen, und die Wahl hängt davon ab, ob das Gerät verwaltet wird, ob das Etikett immer wieder zurückspringt und ob auf diesem Adapter wirklich etwas erkannt werden muss.

Was das Etikett tatsächlich steuert

Windows ordnet jedes Netzwerk einer Kategorie zu und wählt daraus ein Firewall-Profil. Das Profil Öffentlich lehnt eingehende Freigaben, Erkennung sowie die Datei- und Druckerports ab, bevor eine von Ihnen hinzugefügte Regel überhaupt geprüft wird, während Privat mehr erlaubt. Anwendungen, die die Kategorie prüfen, bevor sie einen Dienst bereitstellen, sehen denselben Wert.

Dies ist eine Richtlinienauswahl, keine Routing-Entscheidung. Eine Adresse kann vollständig erreichbar sein und trotzdem abgelehnt werden, weil das geltende Profil keine passende Regel enthält, und keine Reparatur der Routen ändert daran etwas. Zwei verschiedene Fragen, zwei verschiedene Werkzeuge. Sie zu vermischen ist der häufigste Grund, warum eine Lösung zu funktionieren scheint und dann aufhört.

Die Kategorie wird pro Netzwerk gespeichert, und das Netzwerk wird über eine Signatur erkannt. Bei einem gewöhnlichen LAN umfasst diese Signatur die Hardwareadresse des Standardgateways und das DNS-Suffix der Verbindung, an beidem fehlt es einem VPN-Adapter typischerweise. Eine schwache Signatur bedeutet, dass derselbe Tunnel nach einem Client-Upgrade wie ein neues Netzwerk aussehen kann.

Deshalb scheint sich das Etikett von selbst zu ändern. Windows ist nicht launisch; es erkennt den Tunnel nicht mehr als das Netzwerk, das es letzte Woche eingestuft hat.

Drei Bedingungen, die über den Weg entscheiden

Die erste Bedingung ist die Zuständigkeit. Auf einem verwalteten Laptop ist die Einstellung oft gesperrt, und eine lokale Änderung wird beim nächsten Richtlinienabgleich überschrieben. Dagegen anzukämpfen kostet einen Nachmittag; die Richtlinie ist der unterstützte Weg und der einzige, der hält.

Die zweite Bedingung ist die Wiederholung. Wenn das Etikett mehr als einmal zurückgesprungen ist, wird der Wert pro Netzwerk aus einer geänderten Signatur neu aufgebaut, und eine erneute Bearbeitung wird nicht halten. Richtlinienwerte liegen in einem eigenen Zweig, der die benutzerbezogenen Werte überstimmt, die Windows bei jedem erneuten Verbinden des Adapters neu schreibt.

Die dritte Bedingung ist der Bedarf. Manche Umgebungen benötigen tatsächlich Namensauflösung und Erkennung über den Tunnel, und diese wollen enge Firewall-Regeln für bestimmte Adressen statt eines ganzen Adapters, der auf Privat verschoben wird. Die Kategorie umzustellen, damit ein Dienst läuft, ist der Weg, auf dem ein Tunnel mehr freigibt als beabsichtigt.

Beantworten Sie die drei Bedingungen, und die Wahl fällt von selbst. Zwei davon deuten auf die Richtlinie, und eine auf einen einmaligen Test bedeutet eine lokale Änderung, die Sie verwerfen wollen.

Festlegen und dann nachlesen, welches Profil gilt

Die lokale Sicherheitsrichtlinie zeigt die Einstellung unter Richtlinien für die Netzwerkliste. Öffnen Sie secpol.msc, erweitern Sie diesen Knoten, öffnen Sie den Eintrag für das Netzwerk des Tunnels, setzen Sie den Standorttyp auf Öffentlich und setzen Sie die Benutzerberechtigung so, dass der Standort nicht geändert werden kann. Diese Einstellungen landen im Zweig Richtlinien desselben Baums, weshalb sie die benutzerbezogenen Werte überstimmen, die ein erneutes Verbinden neu schreibt.

Öffentlich ist für einen VPN-Adapter meist richtig, weil es eingehende Freigaben und Erkennung standardmäßig blockiert. Das ist die konservative Wahl für einen Tunnel, der in einem nicht vertrauenswürdigen Segment landen kann, und er lässt sich später mit gezielten Regeln statt mit einem Kategorienwechsel lockern. Die Kategorie zu erweitern, um einen Dienst zu reparieren, ist ein Tausch, den Sie kaum rückgängig machen können. Eine Regel ist in Sekunden entfernt.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Der erste Befehl meldet die tatsächlich geltende Kategorie und nicht die aus dem Dialog, und dieser Wert entscheidet über das Firewall-Verhalten. Der zweite bestätigt, dass das angewandte Profil aktiviert ist und auf welches Sie sich wirklich verlassen.

Beachten Sie, was das Paar nicht beweist. Keiner der Befehle zeigt, ob eine bestimmte eingehende Regel vorhanden ist, daher braucht ein Dienst, der weiterhin nicht antwortet, eine Regelprüfung statt einer weiteren Kategorieänderung.

Wenn das Symptom nicht die Kategorie ist

Eine Netzwerkanzeige kann der Verbindung hinterherhinken, und ältere Windows-Versionen hatten einen dokumentierten Fehler, bei dem ein Force-Tunnel-VPN als Eingeschränkt erschien, während der Datenverkehr floss und paketierte Anwendungen es nicht nutzen wollten. Die Anzeige war falsch; der Tunnel funktionierte.

Testen Sie also das, was dem Benutzer wirklich wichtig ist, statt das Symbol. Erreichen Sie den Dienst über die Adresse, dann über den Namen, dann über die Anwendung. Jeder Schritt trennt Routing, Auflösung und Anwendungsrichtlinie, und die Kategorie kommt erst beim Firewall-Schritt ins Spiel.

Wenn die Kategorie korrekt ist und der Dienst weiterhin scheitert, prüfen Sie den Geltungsbereich der Regeln. Eine für das Profil Privat geschriebene Regel passt nicht mehr, sobald der Adapter Öffentlich ist, und das ist ein anderer Fehler als eine Regel, die nie erstellt wurde.

Notieren Sie die beabsichtigte Kategorie, ob sie per Richtlinie erzwungen wird und welche Adressen Ausnahmen brauchen. Diese Notiz beantwortet die nächste Meldung über verschwindende Freigaben mit einer Tatsache über Profile und Geltungsbereiche statt mit einer weiteren Theorie über den Tunnel.

Die Entscheidung ist klein, die Folgen sind es nicht. Eine Kategorie ist ein Firewall-Selektor, und sie für kosmetisch zu halten ist der Weg, auf dem ein funktionierender Dienst zum Rätsel wird.