Ο προσαρμογέας VPN των Windows πρέπει να είναι ιδιωτικός ή δημόσιος;

Η ρύθμιση ενός προσαρμογέα VPN των Windows σε Ιδιωτικό είναι σωστή για ένα εταιρικό τούνελ και λάθος για έναν πελάτη εμπορικού VPN, και η διαφορά δεν είναι διακοσμητική. Η κατηγορία δικτύου επιλέγει προφίλ τείχους προστασίας, οπότε μία αλλαγή επιτρέπει ολόκληρο σύνολο κανόνων ταυτόχρονα. Έχω δει σενάριο σύνδεσης να θέτει κάθε μη αναγνωρισμένο προσαρμογέα σε Ιδιωτικό, κάτι που εξέθεσε σιωπηλά την κοινή χρήση αρχείων σε ασύρματο δίκτυο ξενοδοχείου. Τρεις προϋποθέσεις καθορίζουν την απάντηση, και όλες πρέπει να ισχύουν πριν αγγίξετε τη ρύθμιση.

Τι αποφασίζει στην πραγματικότητα η κατηγορία

Το Network Location Awareness χτίζει μια υπογραφή για κάθε συνδεδεμένο δίκτυο από όσα μπορεί να αναφέρει ο προσαρμογέας: τη διεύθυνση πύλης και τη MAC, το επίθημα DNS, αν απαντά ένας ελεγκτής τομέα και αν το δίκτυο φτάνει στο διαδίκτυο. Τα Windows συνδέουν ένα προφίλ με αυτή την υπογραφή και το τείχος προστασίας εφαρμόζει μετά το σύνολο κανόνων για αυτό το προφίλ. Το Δημόσιο είναι η εφεδρική επιλογή όταν η αναγνώριση αποτυγχάνει, γι' αυτό ένα λειτουργικό τούνελ μπορεί να εξακολουθεί να χαρακτηρίζεται μη αναγνωρισμένο δίκτυο.

Ένας προσαρμογέας TUN ή TAP συνήθως δίνει στην αναγνώριση πολύ λίγα δεδομένα. Ο ομότιμος του τούνελ είναι συχνά μία διεύθυνση αντί για πύλη, το DNS μπορεί να προωθείται μόνο μέσα στο τούνελ και ο προσαρμογέας δεν έχει δική του προεπιλεγμένη διαδρομή. Η ετικέτα που προκύπτει περιγράφει την είσοδο του τείχους προστασίας, όχι την υγεία του τούνελ, και γι' αυτό οι κανόνες του ιδιωτικού προφίλ σταματούν να ταιριάζουν τη στιγμή που συνδέεται το VPN.

Προϋπόθεση πρώτη: το τούνελ είναι η αξιόπιστη διαδρομή

Η επιλογή Ιδιωτικό δηλώνει ότι ό,τι είναι προσβάσιμο μέσω αυτής της διεπαφής είναι τουλάχιστον τόσο αξιόπιστο όσο το δικό σας LAN, επειδή η ανακάλυψη και οι κανόνες εισερχομένων θα αντιμετωπίζουν αυτό το υποδίκτυο ως τοπικό. Για ένα εταιρικό τούνελ σε διαχειριζόμενο υποδίκτυο με διακομιστές αρχείων και εκτυπωτές, η δήλωση συνήθως ισχύει. Ο προσαρμογέας είναι μια πόρτα σε δίκτυο που ελέγχει ο οργανισμός σας, και το μηχάνημα στην άλλη πλευρά έγινε δεκτό από την ίδια πολιτική που δέχτηκε το δικό σας.

Μια έξοδος εμπορικού VPN αποτυγχάνει σε αυτή τη δοκιμή. Άλλοι συνδρομητές μοιράζονται το υποδίκτυο εξόδου, και ο χαρακτηρισμός του ως Ιδιωτικού βάζει την ανακάλυψη δικτύου, το LLMNR και την επίλυση ονομάτων NetBIOS σε ένα τμήμα γεμάτο ξένους. Το διαχωρισμένο τούνελ μπορεί επίσης να αποτύχει: όταν ο προσαρμογέας μεταφέρει μία μόνο διαδρομή κεντρικού υπολογιστή προς μία εφαρμογή, δεν υπάρχει αξιόπιστο υποδίκτυο για να μιλήσει κανείς, και η αλλαγή κατηγορίας δεν σας προσφέρει τίποτα.

Προϋπόθεση δεύτερη: η ταξινόμηση επιβιώνει από επανασυνδέσεις

Μια νέα πύλη ή ένα νέο επίθημα DNS παράγει νέα υπογραφή, και τα Windows παίρνουν νέα απόφαση προφίλ γι' αυτήν. Ένα εφάπαξ Set-NetConnectionProfile επομένως διαρκεί μέχρι την επόμενη επανασύνδεση, όχι για πάντα. Ελέγξτε το προφίλ μετά από επανασύνδεση και όχι μετά την πρώτη σύνδεση, γιατί τότε η ρύθμιση επανέρχεται μόνη της.

Υπάρχουν τρεις τρόποι να γίνει μόνιμο. Ο καθαρότερος είναι η πολιτική: ανοίξτε το secpol.msc, πηγαίνετε στο Network List Manager Policies και ορίστε τον τύπο τοποθεσίας για το δίκτυο, μαζί με την πολιτική για μη αναγνωρισμένα δίκτυα, ώστε το προφίλ να εφαρμόζεται από πολιτική και όχι από εντολή. Ο δεύτερος είναι ένα σενάριο ανά σύνδεση ή μια προγραμματισμένη εργασία που εκτελεί το cmdlet του PowerShell όταν σηκωθεί το τούνελ. Ο τρίτος είναι το παλιό τέχνασμα της διαδρομής, που δίνει στην αναγνώριση μια πύλη για έλεγχο:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Το τέχνασμα της διαδρομής είναι παράκαμψη, όχι ταξινόμηση. Σπάει όταν αλλάξει η σχέση μετρικών ή ο πελάτης VPN ξαναγράψει τις διαδρομές στην επανασύνδεση, και αλλάζει σιωπηλά την επιλογή διαδρομής για ό,τι πέσει στη δεύτερη προεπιλεγμένη διαδρομή.

Προϋπόθεση τρίτη: χρειάζεστε το ιδιωτικό σύνολο κανόνων

Το Ιδιωτικό συνήθως μεταφέρει κοινή χρήση αρχείων και εκτυπωτών, ανακάλυψη δικτύου και τις ομάδες απομακρυσμένης διαχείρισης. Αν η εργασία είναι να φτάσετε σε κοινόχρηστο φάκελο SMB ή εκτυπωτή μέσα από το τούνελ, αυτός είναι ο πραγματικός λόγος να αλλάξετε κατηγορία. Αν η εργασία είναι εξερχόμενη πρόσβαση σε μία εφαρμογή ιστού, η κατηγορία είναι άσχετη: γράψτε τον εξερχόμενο κανόνα, κρατήστε Δημόσιο και σταματήστε εκεί.

Διαβάστε τον πίνακα ως αφετηρία και μετά ελέγξτε ποιοι ιδιωτικοί κανόνες είναι πράγματι ενεργοί στην έκδοσή σας. Μια σκληρυμένη εικόνα μπορεί να έχει αφαιρέσει εντελώς την κοινή χρήση αρχείων από το ιδιωτικό προφίλ, οπότε η αλλαγή κατηγορίας δεν πετυχαίνει τίποτα μέχρι να προσθέσετε ξανά τον κανόνα. Αυτός ο έλεγχος κοστίζει μία εντολή και γλιτώνει ένα μακρύ απόγευμα.

Η αλλαγή χωρίς να διευρύνετε όλα τα άλλα

Στοχεύστε το ευρετήριο διεπαφής, όχι ένα μπαλαντέρ, και διαβάστε τη λίστα πριν και μετά:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Τα αποθηκευμένα προφίλ ζουν κάτω από το κλειδί NetworkList στο μητρώο, όπου η τιμή Category διαχωρίζει δημόσια, ιδιωτικά και δίκτυα τομέα. Η επεξεργασία είναι εφικτή και εύκολη στο λάθος: πρέπει να αλλάξετε την καταχώριση που ταιριάζει με την τρέχουσα υπογραφή του προσαρμογέα, όχι μια παλαιότερη καταχώριση που άφησε μια προηγούμενη διεύθυνση. Μια παρωχημένη καταχώριση φαίνεται σωστή στον επεξεργαστή και δεν κάνει τίποτα στην επανασύνδεση.

Ό,τι κι αν κάνετε, μη διανέμετε σενάριο που θέτει κάθε μη αναγνωρισμένο προσαρμογέα σε Ιδιωτικό. Αυτή είναι η μονόγραμμη εκδοχή του να ανοίγετε την ανακάλυψη σε μη αξιόπιστο ασύρματο δίκτυο. Αν χρειάζεστε κοινή χρήση μόνο με το υποδίκτυο του τούνελ, κρατήστε το προφίλ Δημόσιο και προσθέστε περιορισμένους κανόνες εισερχομένων για το εύρος απομακρυσμένων διευθύνσεων του τούνελ, καθώς ο κανόνας του τείχους προστασίας είναι στενότερος από την κατηγορία.

Ελέγξτε τον κοινόχρηστο πόρο, όχι την ετικέτα

Μετά την αλλαγή, δοκιμάστε τον ίδιο τον πόρο αντί να εμπιστεύεστε την ετικέτα:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Αν ο κοινόχρηστος πόρος εξακολουθεί να αποτυγχάνει ενώ ο προσαρμογέας δείχνει Ιδιωτικό, η κατηγορία δεν είναι πλέον το πρόβλημά σας. Η επίλυση ονομάτων, μια διαδρομή που λείπει ή τα δικαιώματα κοινής χρήσης θα δώσουν το ίδιο σύμπτωμα, και μια ακόμη αλλαγή προφίλ δεν μπορεί να διορθώσει κανένα από αυτά. Επανασυνδεθείτε μία φορά και εκτελέστε ξανά το Get-NetConnectionProfile για να επιβεβαιώσετε ότι η ρύθμιση κρατήθηκε, και μετά αντιμετωπίστε την υπόλοιπη αποτυχία ως συνηθισμένο πρόβλημα SMB.

Λίστα ελέγχου: επιβεβαιώστε ότι το τούνελ είναι διαχειριζόμενη διαδρομή, ότι το προφίλ επιβιώνει από επανασύνδεση, ότι οι ιδιωτικοί κανόνες που χρειάζεστε υπάρχουν στην εικόνα και ότι ο κοινόχρηστος πόρος επιλύεται και απαντά στη θύρα 445. Αν οποιοδήποτε από τα τρία πρώτα είναι ψευδές, αφήστε τον προσαρμογέα σε Δημόσιο και λύστε το πρόβλημα πρόσβασης με περιορισμένο κανόνα.