Por qué un adaptador VPN acaba siempre en el perfil de trabajo

Conecte el túnel corporativo y el portátil cambia de carácter en silencio. Se detiene el uso compartido de archivos, falla la exploración de nombres, una aplicación que antes escuchaba deja de escuchar y Configuración muestra la conexión como Trabajo o No identificada. Existen tres formas de fijar esa clasificación, y la elección entre ellas depende de si el dispositivo está administrado, de si la etiqueta sigue revirtiendo y de si algo necesita realmente detección en ese adaptador.

Qué controla realmente la etiqueta

Windows agrupa cada red en una categoría y elige de ella un perfil de firewall. El perfil Público rechaza el uso compartido entrante, la detección y los puertos de archivos e impresoras antes de que se consulte cualquier regla que usted añada, mientras que Privado permite más. Las aplicaciones que comprueban la categoría antes de exponer un servicio ven el mismo valor.

Se trata de una selección de directiva, no de una decisión de enrutamiento. Una dirección puede ser perfectamente alcanzable y aun así ser rechazada porque el perfil en vigor no contiene una regla coincidente, y ninguna reparación de rutas cambiará eso. Dos preguntas distintas, dos herramientas distintas. Mezclarlas es la razón más común por la que una solución parece funcionar y luego deja de hacerlo.

La categoría se almacena por red, y la red se identifica mediante una firma. En una LAN normal esa firma incluye la dirección hardware de la puerta de enlace predeterminada y el sufijo DNS de la conexión, y de ambas cosas carece normalmente un adaptador VPN. Una firma débil significa que el mismo túnel puede parecer una red nueva tras una actualización del cliente.

Por eso la etiqueta parece cambiar sola. Windows no actúa por capricho; lo que ocurre es que no reconoce el túnel como la red que clasificó la semana pasada.

Tres condiciones que deciden el enfoque

La primera condición es la propiedad. En un portátil administrado el ajuste suele estar bloqueado, y una edición local será sobrescrita en la próxima actualización de directiva. Luchar contra eso es perder una tarde; la directiva es el canal admitido y el único que se mantiene.

La segunda condición es la recurrencia. Si la etiqueta ha revertido más de una vez, el valor por red se está reconstruyendo a partir de una firma que cambió, y editarlo de nuevo no durará. Los valores de directiva viven en una rama separada que tiene prioridad sobre los valores por usuario que Windows reconstruye cada vez que el adaptador se reconecta.

La tercera condición es la necesidad. Algunos entornos requieren de verdad resolución de nombres y detección a través del túnel, y esos quieren reglas de firewall estrechas para direcciones concretas en lugar de un adaptador entero movido a Privado. Cambiar la categoría para que funcione un servicio es como un túnel acaba exponiendo más de lo previsto.

Responda las tres condiciones y la elección se hace sola. Dos que apunten a la directiva significan directiva, y una que apunte a una prueba puntual significa una edición local que usted piensa descartar.

Fíjelo y luego lea qué perfil está en vigor

La directiva de seguridad local expone el ajuste en Directivas del Administrador de lista de redes. Abra secpol.msc, expanda ese nodo, abra la entrada de la red del túnel, fije el tipo de ubicación en Público y ajuste el permiso de usuario para que la ubicación no pueda cambiarse. Esos ajustes quedan en la rama Directivas de ese mismo árbol, y por eso tienen prioridad sobre los valores por usuario que una reconexión reescribe.

Público suele ser lo correcto para un adaptador VPN, porque bloquea de forma predeterminada el uso compartido entrante y la detección. Es la opción conservadora para un túnel que puede caer en un segmento no confiable, y más tarde puede relajarse con reglas concretas en lugar de cambiar la categoría. Ampliar la categoría para arreglar un servicio es un intercambio que no se revierte con facilidad. Una regla se elimina en segundos.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

El primer comando informa la categoría en vigor y no la del cuadro de diálogo, y ese es el valor que decide el comportamiento del firewall. El segundo confirma que el perfil aplicado está habilitado y en cuál se está apoyando realmente.

Observe lo que el par no demuestra. Ninguno de los comandos muestra si existe una regla entrante concreta, así que un servicio que sigue sin responder necesita una revisión de reglas y no otro cambio de categoría.

Cuando el síntoma no es la categoría

Un indicador de red puede ir por detrás de la conexión, y versiones anteriores de Windows tenían un defecto documentado por el que una VPN de túnel forzado aparecía como Limitada mientras el tráfico fluía y las aplicaciones empaquetadas se negaban a usarla. El indicador estaba equivocado; el túnel funcionaba.

Así que pruebe lo que de verdad le importa al usuario en lugar del icono. Llegue al servicio por dirección, luego por nombre y después a través de la aplicación. Cada paso separa el enrutamiento, la resolución y la directiva de aplicaciones, y la categoría solo entra en el paso del firewall.

Si la categoría es correcta y el servicio sigue fallando, revise el alcance de las reglas. Una regla escrita para el perfil Privado deja de coincidir en el momento en que el adaptador es Público, y eso es un fallo distinto de una regla que nunca se creó.

Anote la categoría prevista, si está impuesta por directiva y las direcciones que necesitan excepciones. Esa nota responde al siguiente informe sobre recursos compartidos que desaparecen con un hecho sobre perfiles y alcances en lugar de otra teoría sobre el túnel.

La decisión es pequeña y las consecuencias no lo son. Una categoría es un selector de firewall, y tratarla como algo cosmético es como un servicio que funciona se convierte en un misterio.