Γιατί ένας προσαρμογέας VPN καταλήγει πάντα στο προφίλ εργασίας
Τα Windows συνδέουν το προφίλ του τείχους προστασίας με μια αδύναμη υπογραφή στον προσαρμογέα VPN. Καρφιτσώστε τη θέση με πολιτική και μετά επιβεβαιώστε ποιο προφίλ ισχύει πραγματικά.
Συνδέστε τη σήραγγα της εταιρείας και ο φορητός υπολογιστής αλλάζει ήσυχα χαρακτήρα. Ο διαμοιρασμός αρχείων σταματά, η περιήγηση με όνομα αποτυγχάνει, μια εφαρμογή που άκουγε παύει να ακούει και οι Ρυθμίσεις εμφανίζουν τη σύνδεση ως Εργασία ή Μη αναγνωρισμένο. Υπάρχουν τρεις τρόποι να καρφιτσώσετε αυτή την ταξινόμηση, και η επιλογή ανάμεσά τους εξαρτάται από το αν η συσκευή διαχειρίζεται, αν η ετικέτα επανέρχεται και αν κάτι χρειάζεται πραγματικά ανακάλυψη σε αυτόν τον προσαρμογέα.
Τι ελέγχει στην πραγματικότητα η ετικέτα
Τα Windows ομαδοποιούν κάθε δίκτυο σε μια κατηγορία και επιλέγουν από αυτήν ένα προφίλ τείχους προστασίας. Το προφίλ Δημόσιο αρνείται τον εισερχόμενο διαμοιρασμό, την ανακάλυψη και τις θύρες αρχείων και εκτυπωτών πριν εξεταστεί οποιοσδήποτε κανόνας που προσθέτετε, ενώ το Ιδιωτικό επιτρέπει περισσότερα. Οι εφαρμογές που ελέγχουν την κατηγορία πριν εκθέσουν μια υπηρεσία βλέπουν την ίδια τιμή.
Αυτή είναι επιλογή πολιτικής, όχι απόφαση δρομολόγησης. Μια διεύθυνση μπορεί να είναι απολύτως προσβάσιμη και παρόλα αυτά να απορρίπτεται επειδή το ισχύον προφίλ δεν περιέχει αντίστοιχο κανόνα, και καμία επισκευή διαδρομών δεν το αλλάζει. Δύο διαφορετικές ερωτήσεις, δύο διαφορετικά εργαλεία. Η ανάμειξή τους είναι η συνηθέστερη αιτία που μια διόρθωση φαίνεται να δουλεύει και μετά σταματά.
Η κατηγορία αποθηκεύεται ανά δίκτυο, και το δίκτυο αναγνωρίζεται από μια υπογραφή. Σε ένα συνηθισμένο τοπικό δίκτυο η υπογραφή περιλαμβάνει τη διεύθυνση υλικού της προεπιλεγμένης πύλης και το επίθημα DNS της σύνδεσης, και ένας προσαρμογέας VPN συνήθως στερείται και τα δύο. Μια αδύναμη υπογραφή σημαίνει ότι η ίδια σήραγγα μπορεί να μοιάζει με νέο δίκτυο μετά από αναβάθμιση του πελάτη.
Γι' αυτό η ετικέτα φαίνεται να αλλάζει μόνη της. Τα Windows δεν είναι ιδιότροπα· απλώς αποτυγχάνουν να αναγνωρίσουν τη σήραγγα ως το δίκτυο που ταξινόμησαν την περασμένη εβδομάδα.
Τρεις συνθήκες που καθορίζουν την προσέγγιση
Η πρώτη συνθήκη είναι η ιδιοκτησία. Σε έναν διαχειριζόμενο φορητό υπολογιστή η ρύθμιση είναι συχνά κλειδωμένη, και μια τοπική αλλαγή θα αντικατασταθεί στην επόμενη ανανέωση πολιτικής. Η μάχη με αυτό κοστίζει ένα απόγευμα· η πολιτική είναι το υποστηριζόμενο κανάλι και το μόνο που αντέχει.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
Η δεύτερη συνθήκη είναι η επανάληψη. Αν η ετικέτα έχει επιστρέψει περισσότερες από μία φορές, η τιμή ανά δίκτυο ξαναχτίζεται από μια υπογραφή που άλλαξε, και μια νέα επεξεργασία δεν θα αντέξει. Οι τιμές πολιτικής ζουν σε ξεχωριστό κλάδο που υπερισχύει των τιμών ανά χρήστη που τα Windows ξαναχτίζουν κάθε φορά που ο προσαρμογέας επανασυνδέεται.
Η τρίτη συνθήκη είναι η ανάγκη. Ορισμένα περιβάλλοντα απαιτούν πραγματικά επίλυση ονομάτων και ανακάλυψη μέσα από τη σήραγγα, και αυτά θέλουν στενούς κανόνες τείχους προστασίας για συγκεκριμένες διευθύνσεις αντί να μετακινηθεί ολόκληρος ο προσαρμογέας στο Ιδιωτικό. Η αλλαγή κατηγορίας για να δουλέψει μία υπηρεσία είναι ο τρόπος με τον οποίο μια σήραγγα καταλήγει να εκθέτει περισσότερα από τα προβλεπόμενα.
Απαντήστε στις τρεις συνθήκες και η επιλογή γίνεται μόνη της. Δύο που δείχνουν στην πολιτική σημαίνουν πολιτική, και μία που δείχνει σε δοκιμή μιας φοράς σημαίνει τοπική αλλαγή που σκοπεύετε να πετάξετε.
Καρφιτσώστε το και μετά διαβάστε ποιο προφίλ ισχύει
Η Τοπική πολιτική ασφαλείας εμφανίζει τη ρύθμιση στις Πολιτικές για τη λίστα δικτύων. Ανοίξτε το secpol.msc, αναπτύξτε αυτόν τον κόμβο, ανοίξτε την καταχώριση για το δίκτυο της σήραγγας, ορίστε τον τύπο θέσης σε Δημόσιο και ορίστε την άδεια χρήστη ώστε η θέση να μην μπορεί να αλλάξει. Αυτές οι ρυθμίσεις καταλήγουν στον κλάδο Πολιτικές του ίδιου δέντρου, γι' αυτό υπερισχύουν των τιμών ανά χρήστη που ξαναγράφει μια επανασύνδεση.
Το Δημόσιο είναι συνήθως σωστό για έναν προσαρμογέα VPN, επειδή αποκλείει εξ ορισμού τον εισερχόμενο διαμοιρασμό και την ανακάλυψη. Είναι η συντηρητική επιλογή για μια σήραγγα που μπορεί να προσγειωθεί σε μη αξιόπιστο τμήμα, και μπορεί αργότερα να χαλαρώσει με συγκεκριμένους κανόνες αντί με αλλαγή κατηγορίας. Η διεύρυνση της κατηγορίας για να διορθωθεί μία υπηρεσία είναι ανταλλαγή που δεν αναστρέφεται εύκολα. Ένας κανόνας αφαιρείται σε δευτερόλεπτα.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, EnabledΗ πρώτη εντολή αναφέρει την ισχύουσα κατηγορία και όχι αυτή του παραθύρου διαλόγου, και αυτή η τιμή καθορίζει τη συμπεριφορά του τείχους προστασίας. Η δεύτερη επιβεβαιώνει ότι το προφίλ που εφαρμόζεται είναι ενεργό και σε ποιο πραγματικά βασίζεστε.
Προσέξτε τι δεν αποδεικνύει το ζεύγος. Καμία εντολή δεν δείχνει αν υπάρχει συγκεκριμένος εισερχόμενος κανόνας, οπότε μια υπηρεσία που ακόμη δεν απαντά χρειάζεται έλεγχο κανόνων και όχι άλλη αλλαγή κατηγορίας.
Όταν το σύμπτωμα δεν είναι η κατηγορία
Μια ένδειξη δικτύου μπορεί να υστερεί της σύνδεσης, και παλαιότερες εκδόσεις των Windows είχαν τεκμηριωμένο ελάττωμα όπου VPN αναγκαστικής σήραγγας εμφανιζόταν ως Περιορισμένο ενώ η κίνηση κυκλοφορούσε και οι συσκευασμένες εφαρμογές αρνούνταν να το χρησιμοποιήσουν. Η ένδειξη έκανε λάθος· η σήραγγα δούλευε.
Δοκιμάστε λοιπόν αυτό που πραγματικά νοιάζει τον χρήστη και όχι το εικονίδιο. Φτάστε στην υπηρεσία με διεύθυνση, μετά με όνομα, μετά μέσα από την εφαρμογή. Κάθε βήμα χωρίζει τη δρομολόγηση, την επίλυση και την πολιτική εφαρμογών, και η κατηγορία μπαίνει μόνο στο βήμα του τείχους προστασίας.
Αν η κατηγορία είναι σωστή και η υπηρεσία ακόμη αποτυγχάνει, ελέγξτε το εύρος των κανόνων. Ένας κανόνας γραμμένος για το προφίλ Ιδιωτικό παύει να ταιριάζει τη στιγμή που ο προσαρμογέας είναι Δημόσιος, και αυτό είναι διαφορετικό σφάλμα από έναν κανόνα που δεν δημιουργήθηκε ποτέ.
Καταγράψτε την προβλεπόμενη κατηγορία, αν επιβάλλεται από πολιτική, και τις διευθύνσεις που χρειάζονται εξαιρέσεις. Αυτή η σημείωση απαντά στην επόμενη αναφορά για διαμοιρασμούς που εξαφανίζονται με ένα γεγονός για προφίλ και εύρη, όχι με άλλη μια θεωρία για τη σήραγγα.
Η απόφαση είναι μικρή και οι συνέπειες δεν είναι. Η κατηγορία είναι επιλογέας τείχους προστασίας, και το να τη θεωρούμε καλλωπιστική είναι ο τρόπος με τον οποίο μια λειτουργική υπηρεσία γίνεται μυστήριο.