Kas Windowsi VPN-adapter peaks olema privaatne või avalik?

Windowsi VPN-adapteri seadistamine privaatseks on õige ettevõtte tunnelile ja vale kommerts-VPN-i kliendile ning erinevus ei ole kosmeetiline. Võrgukategooria valib tulemüüriprofiili, seega üks muudatus lubab korraga terve reeglistiku. Olen näinud sisselogimisskripti, mis seadis iga tuvastamata adapteri privaatseks, mis vaikselt paljastas failijagamise hotelli juhtmevabas võrgus. Vastuse otsustavad kolm tingimust ja kõik peavad kehtima enne, kui seadet puudutate.

Mida kategooria tegelikult otsustab

Network Location Awareness koostab igale ühendatud võrgule allkirja sellest, mida adapter suudab teatada: lüüsiaadress ja MAC, DNS-i järelliide, kas domeenikontroller vastab ja kas võrk jõuab internetti. Windows seob profiili selle allkirjaga ja seejärel rakendab tulemüür selle profiili reeglistikku. Avalik on tagavaravalik, kui tuvastamine ebaõnnestub, mistõttu võib töötav tunnel jääda märgistatuks kui tuvastamata võrk.

TUN- või TAP-adapter annab tuvastamisele tavaliselt väga vähe teavet. Tunneli vastaspool on sageli üks aadress, mitte lüüs, DNS-i võidakse edastada ainult tunneli sees ja adapteril pole oma vaike marsruuti. Saadud silt kirjeldab tulemüüri sisendit, mitte tunneli tervist, ja just seetõttu lakkavad privaatse profiili reeglid sobimast hetkel, mil VPN ühendub.

Esimene tingimus: tunnel on usaldusväärne teekond

Privaatse valimine väidab, et kõik selle liidese kaudu kättesaadav on vähemalt sama usaldusväärne kui teie enda LAN, sest avastamine ja sissetulevad reeglid käsitlevad seda alamvõrku kohalikuna. Ettevõtte tunneli puhul hallatavasse alamvõrku failiserverite ja printeritega see väide tavaliselt kehtib. Adapter on uks võrku, mida teie organisatsioon kontrollib, ja teisel pool olev masin võeti vastu sama poliitikaga, mis võttis vastu teie oma.

Kommerts-VPN-i väljund ei läbi seda testi. Teised tellijad jagavad väljundalamvõrku ja selle privaatseks märkimine paneb võrguavastuse, LLMNR-i ja NetBIOS-i nimelahenduse võõraid täis segmenti. Ka jagatud tunnel võib ebaõnnestuda: kui adapter kannab ühte hostmarsruuti ühe rakenduse jaoks, pole mingist usaldusväärsest alamvõrgust rääkida ja kategooria muutmine ei anna teile midagi.

Teine tingimus: klassifikatsioon peab vastu taasühendustele

Uus lüüs või DNS-i järelliide loob uue allkirja ja Windows teeb selle kohta värske profiiliotsuse. Seega ühekordne Set-NetConnectionProfile püsib kuni järgmise taasühenduseni, mitte igavesti. Kontrollige profiili pärast taasühendust, mitte pärast esimest ühendust, sest just siis taandub seade iseenesest.

Selle püsivaks muutmiseks on kolm võimalust. Puhtaim on poliitika: avage secpol.msc, minge jaotisesse Network List Manager Policies ja määrake võrgu asukoha tüüp, sealhulgas tuvastamata võrgu poliitika, et profiil rakenduks poliitikaga, mitte käsuga. Teine on ühendusepõhine skript või ajastatud ülesanne, mis käivitab PowerShelli cmdleti pärast tunneli tõusmist. Kolmas on vana marsruudinipp, mis annab tuvastamisele uurimiseks lüüsi:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Marsruudinipp on möödasõit, mitte klassifikatsioon. See puruneb, kui metrikasuhe muutub või VPN-i klient taasühendamisel marsruudid ümber kirjutab, ja see muudab vaikselt teede valikut kõige jaoks, mis langeb teisele vaikemarsruudile.

Kolmas tingimus: teil on vaja privaatset reeglistikku

Privaatne kannab tavaliselt faili- ja printerijagamist, võrguavastust ja kaugadministreerimise gruppe. Kui ülesanne on tunnelist jõuda SMB-jagamiseni või printerini, on see tegelik põhjus kategooriat muuta. Kui ülesanne on väljuv juurdepääs ühele veebirakendusele, on kategooria asjakohatu: kirjutage väljuv reegel, jätke avalik ja lõpetage sellega.

Lugege tabelit lähtepunktina ja kontrollige seejärel, millised privaatsed reeglid on teie koostes tegelikult lubatud. Karastatud kujutis võib olla failijagamise privaatsest profiilist täielikult eemaldanud, ja sel juhul ei saavuta kategooria muutmine midagi enne, kui reegli tagasi lisate. See kontroll maksab ühe käsu ja säästab pika pärastlõuna.

Muudatuse tegemine ilma kõike muud laiendamata

Suunake liidese indeksile, mitte metamärgile, ja lugege loendit enne ja pärast:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Salvestatud profiilid elavad registris võtme NetworkList all, kus väärtus Category eristab avalikke, privaatseid ja domeenivõrke. Selle muutmine on võimalik ja kergesti vale: peate muutma kirjet, mis vastab adapteri praegusele allkirjale, mitte vanemat kirjet, mille eelmine aadress maha jättis. Aegunud kirje näeb redaktoris õige välja ega tee taasühendamisel midagi.

Mida iganes teete, ärge laske käibele skripti, mis seadis iga tuvastamata adapteri privaatseks. See on üherealise versioon avastuse avamisest ebausaldusväärses juhtmevabas võrgus. Kui vajate jagamist ainult tunneli alamvõrguga, jätke profiil avalikuks ja lisage piiratud sissetulevad reeglid tunneli kaugvõrgu aadressivahemikule; tulemüürireegel on kategooriast kitsam.

Kontrollige jagamist, mitte silti

Pärast muudatust testige ressurssi ennast, selle asemel et sildile lootma jääda:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Kui jagamine ikka ebaõnnestub, samal ajal kui adapter näitab privaatset, ei ole kategooria enam teie probleem. Nimelahendus, puuduv marsruut või jagamise õigused annavad sama sümptomi ja veel üks profiilimuudatus ei suuda ühtegi neist parandada. Ühenduge korra uuesti ja käivitage Get-NetConnectionProfile uuesti, et kinnitada, et seade püsis, ning käsitlege seejärel ülejäänud tõrget tavalise SMB-probleemina.

Kontroll-loend: kinnitage, et tunnel on hallatav teekond, et profiil peab vastu taasühendusele, et vajalikud privaatsed reeglid on kujutisel olemas ja et jagamine laheneb ning vastab pordil 445. Kui mõni esimesest kolmest on väär, jätke adapter avalikuks ja lahendage juurdepääsuprobleem piiratud reegliga.