Kial VPN-adaptilo ĉiam refoje finiĝas en la labora profilo
Windows ligas fajroŝirman profilon al malforta subskribo de la VPN-adaptilo. Fiksu la lokon per politiko, poste kontrolu kiun profilon efektive validas.
Konektu la firmaan tunelon kaj la tekkomputilo kviete ŝanĝas sian karakteron. Dosiera kunhavigo haltas, foliumado laŭ nomo malsukcesas, aplikaĵo kiu antaŭe aŭskultis ne plu aŭskultas, kaj Agordoj montras la konekton kiel Laboro aŭ Neidentigita. Ekzistas tri manieroj fiksi tiun klasifikon, kaj la elekto inter ili dependas de ĉu la aparato estas administrata, ĉu la etikedo daŭre resaltas kaj ĉu io vere bezonas malkovron sur tiu adaptilo.
Kion la etikedo efektive regas
Windows grupigas ĉiun reton en kategorion kaj elektas el ĝi fajroŝirman profilon. La publika profilo rifuzas envenantan kunhavigon, malkovron kaj la dosierajn kaj printilajn pordojn antaŭ ol iu regulo kiun vi aldonas estas konsultita, dum Privata permesas pli. Aplikaĵoj kiuj kontrolas la kategorion antaŭ ol elmeti servon vidas la saman valoron.
Tio estas politika elekto, ne enkursiga decido. Adreso povas esti tute atingebla kaj tamen rifuzita ĉar la valida profilo ne enhavas kongruan regulon, kaj neniu enkursiga riparo tion ŝanĝos. Du malsamaj demandoj, du malsamaj iloj. Miksi ilin estas la plej ofta kialo ke solvo ŝajne funkcias kaj poste haltas.
La kategorio estas konservata laŭ reto, kaj la reto estas identigata per subskribo. Ĉe ordinara loka reto tiu subskribo inkluzivas la aparatan adreson de la implicita enirejo kaj la DNS-sufikson de la konekto, kaj VPN-adaptilo kutime mankas ambaŭ. Malforta subskribo signifas ke la sama tunelo povas aspekti kiel nova reto post klienta ĝisdatigo.
Tial la etikedo ŝajne ŝanĝiĝas memstare. Windows ne estas kaprica; ĝi malsukcesas rekoni la tunelon kiel la reton kiun ĝi klasifikis pasintsemajne.
Tri kondiĉoj kiuj decidas la aliron
La unua kondiĉo estas posedo. Sur administrata tekkomputilo la agordo ofte estas ŝlosita, kaj loka ŝanĝo estos anstataŭigita ĉe la sekva politika refreŝigo. Batali kontraŭ tio kostas posttagmezon; la politiko estas la subtenata kanalo kaj la sola kiu teniĝas.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
La dua kondiĉo estas ripetiĝo. Se la etikedo resaltis pli ol unufoje, la valoro laŭ reto estas rekonstruata el ŝanĝiĝinta subskribo, kaj redakti ĝin denove ne daŭros. Politikaj valoroj loĝas en aparta branĉo kiu superas la valorojn laŭ uzanto kiujn Windows rekonstruas ĉiufoje kiam la adaptilo rekonektiĝas.
La tria kondiĉo estas bezono. Iuj medioj vere postulas nomrezerigon kaj malkovron tra la tunelo, kaj tiuj volas mallarĝajn fajroŝirmajn regulojn por specifaj adresoj anstataŭ tuta adaptilo movita al Privata. Ŝanĝi la kategorion por ke unu servo funkciu estas kiel tunelo finas elmetante pli ol intencite.
Respondu la tri kondiĉojn kaj la elekto fariĝas por vi. Du kiuj indikas politikon signifas politikon, kaj unu kiu indikas unufojan teston signifas lokan ŝanĝon kiun vi intencas forĵeti.
Fiksu ĝin, poste relegu kiun profilon validas
Loka sekureca politiko montras la agordon sub Politikoj por la retlisto. Malfermu secpol.msc, malvolvu tiun nodon, malfermu la eron por la reto de la tunelo, agordu la lokan tipon al Publika kaj agordu la uzantpermeson tiel ke la loko ne povas esti ŝanĝita. Tiuj agordoj eniras la branĉon Politikoj de la sama arbo, kaj tial ili superas la valorojn laŭ uzanto kiujn rekonekto reskribas.
Publika kutime pravas por VPN-adaptilo, ĉar ĝi blokas envenantan kunhavigon kaj malkovron defaŭlte. Tio estas la singarda elekto por tunelo kiu povas finiĝi sur nefidinda segmento, kaj ĝi povas malfruiĝi per specifaj reguloj anstataŭ per kategoria ŝanĝo. Larĝigi la kategorion por ripari unu servon estas interŝanĝo kiun vi ne facile malfaras. Regulo estas forigebla en sekundoj.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, EnabledLa unua komando raportas la validan kategorion kaj ne tiun en la dialogo, kaj tiu estas la valoro kiu decidas la fajroŝirman konduton. La dua konfirmas ke la aplikata profilo estas ŝaltita kaj kiun vi efektive fidas.
Rimarku kion la paro ne pruvas. Neniu el la komandoj montras ĉu specifa envenanta regulo ekzistas, do servo kiu ankoraŭ ne respondas bezonas regulan kontrolon anstataŭ plian kategorian ŝanĝon.
Kiam la simptomo ne estas la kategorio
Reta indikilo povas malfruiĝi malantaŭ la konekto, kaj pli malnovaj Windows-versioj havis dokumentitan difekton kie devigita tunela VPN aperis kiel Limigita dum trafiko fluis kaj pakitaj aplikaĵoj rifuzis uzi ĝin. La indikilo malpravas; la tunelo funkciis.
Do testu tion kion la uzanto efektive zorgas anstataŭ la ikonon. Atingu la servon per adreso, poste per nomo, poste tra la aplikaĵo. Ĉiu paŝo apartigas enkursigon, rezolucion kaj aplikaĵan politikon, kaj la kategorio eniras nur ĉe la fajroŝirma paŝo.
Se la kategorio ĝustas kaj la servo ankoraŭ malsukcesas, kontrolu la amplekson de la reguloj. Regulo skribita por la profilo Privata ĉesas kongrui en la momento kiam la adaptilo estas Publika, kaj tio estas alia difekto ol regulo kiu neniam estis kreita.
Notu la celitan kategorion, ĉu ĝi estas devigata de politiko, kaj la adresojn kiuj bezonas esceptojn. Tiu noto respondas la sekvan raporton pri malaperantaj kunhavigoj per fakto pri profilo kaj amplekso anstataŭ per alia teorio pri la tunelo.
La decido estas malgranda kaj la sekvoj ne. Kategorio estas fajroŝirma elektilo, kaj trakti ĝin kiel kosmetikan estas kiel funkcianta servo fariĝas mistero.