Miks satub VPN-adapter alati tööprofiili
Windows seob tulemüüsiprofiili VPN-adapteri nõrga allkirjaga. Kinnita asukoht poliitikaga ja kontrolli seejärel, milline profiil tegelikult kehtib.
Ühenda ettevõtte tunnel ja sülearvuti muudab vaikselt oma iseloomu. Failijagamine lakkab, nimepidi sirvimine ebaõnnestub, rakendus, mis varem kuulas, ei kuula enam, ja Seaded näitavad ühendust töö- või tuvastamata võrgustikuna. Selle klassifikatsiooni kinnitamiseks on kolm võimalust ja nende vaheline valik sõltub sellest, kas seadet hallatakse, kas silt pöördub ikka tagasi ja kas sellel adapteril on tõesti midagi avastamist vaja.
Mida silt tegelikult juhib
Windows rühmitab iga võrgu kategooriasse ja valib sellest tulemüüsiprofiili. Avalik profiil keeldub sissetulevast jagamisest, avastamisest ning faili- ja printeriportidest enne, kui sinu lisatud reeglit üldse vaadatakse, samas kui Privaatne lubab rohkem. Rakendused, mis kontrollivad kategooriat enne teenuse avamist, näevad sama väärtust.
See on poliitika valik, mitte marsruutimisotsus. Aadress võib olla täiesti kättesaadav ja siiski tagasi lükatud, sest kehtiv profiil ei sisalda sobivat reeglit, ja ükski marsruudi parandus ei muuda seda. Kaks erinevat küsimust, kaks erinevat tööriista. Nende segamine on kõige tavalisem põhjus, miks lahendus näib toimivat ja siis lakkab.
Kategooria salvestatakse võrgu kaupa ja võrk tuvastatakse allkirja järgi. Tavalises kohtvõrgus hõlmab see allkiri vaikelüüsi riistvaraaadressi ja ühenduse DNS-sufiksit, ning VPN-adapteril puuduvad tavaliselt mõlemad. Nõrk allkiri tähendab, et sama tunnel võib pärast kliendi uuendust paista uue võrguna.
Seepärast näib silt iseenesest muutuvat. Windows ei ole tujukas; see lihtsalt ei tunne tunnelit ära võrguks, mille see eelmisel nädalal klassifitseeris.
Kolm tingimust, mis määravad lähenemise
Esimene tingimus on omand. Hallataval sülearvutil on säte sageli lukustatud ja kohalik muudatus kirjutatakse järgmisel poliitika värskendusel üle. Selle vastu võitlemine maksab ühe pärastlõuna; poliitika on toetatud kanal ja ainus, mis püsib.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
Teine tingimus on kordumine. Kui silt on enam kui korra tagasi pöördunud, ehitatakse võrgupõhine väärtus uuesti üles muutunud allkirjast ja selle uuesti muutmine ei püsi. Poliitika väärtused elavad eraldi harus, mis kaalub üles kasutajapõhised väärtused, mille Windows iga kord adapteri uuesti ühendamisel uuesti üles ehitab.
Kolmas tingimus on vajadus. Mõned keskkonnad nõuavad tõesti nimelahendust ja avastamist läbi tunneli ning need soovivad kitsaid tulemüüsireegleid konkreetsetele aadressidele, mitte tervet adapterit Privaatsesse viiduna. Kategooria ümberlülitamine, et üks teenus tööle saada, on viis, kuidas tunnel lõpuks rohkem paljastab kui kavatsetud.
Vasta kolmele tingimusele ja valik tehakse sinu eest. Kaks, mis osutavad poliitikale, tähendavad poliitikat, ja üks, mis osutab ühekordsele testile, tähendab kohalikku muudatust, mille kavatsed ära visata.
Kinnita see ja loe siis tagasi, milline profiil kehtib
Kohalik turbepoliitika näitab sätet jaotises Võrguloendi poliitikad. Ava secpol.msc, laienda seda sõlme, ava tunnelivõrgu kirje, määra asukoha tüübiks Avalik ja sea kasutajaõigus nii, et asukohta ei saa muuta. Need sätted maanduvad sama puu haru Poliitikad, mistõttu need kaaluvad üles kasutajapõhised väärtused, mille uuestiühendamine üle kirjutab.
Avalik on VPN-adapteri jaoks tavaliselt õige, sest see blokeerib vaikimisi sissetuleva jagamise ja avastamise. See on ettevaatlik valik tunnelile, mis võib maanduda mitteusaldusväärses segmendis, ja seda saab hiljem leevendada konkreetsete reeglitega, mitte kategooria muutmisega. Kategooria laiendamine ühe teenuse parandamiseks on tehing, mida ei ole lihtne tagasi pöörata. Reegli saab eemaldada sekunditega.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, EnabledEsimene käsk teatab kehtiva kategooria, mitte dialoogis oleva, ja just see väärtus määrab tulemüüsi käitumise. Teine kinnitab, et rakendatav profiil on lubatud ja millisele sa tegelikult toetud.
Pange tähele, mida paar ei tõesta. Kumbki käsk ei näita, kas konkreetne sissetulev reegel on olemas, seega teenus, mis ikka ei vasta, vajab reeglikontrolli, mitte veel ühte kategooriamuudatust.
Kui sümptom ei ole kategooria
Võrguindikaator võib ühendusest maha jääda ja vanematel Windowsi versioonidel oli dokumenteeritud viga, kus sunnitud tunneliga VPN kuvati piiratud, samal ajal kui liiklus voolas ja pakendatud rakendused keeldusid seda kasutamast. Indikaator eksis; tunnel töötas.
Nii et testi seda, mis kasutajale tegelikult korda läheb, mitte ikooni. Jõua teenuseni aadressi järgi, seejärel nime järgi ja siis rakenduse kaudu. Iga samm eraldab marsruutimise, lahenduse ja rakendusepoliitika ning kategooria tuleb mängu alles tulemüüsietapis.
Kui kategooria on õige ja teenus ikka ebaõnnestub, kontrolli reeglite ulatust. Privaatse profiili jaoks kirjutatud reegel lakkab sobimast hetkel, mil adapter on Avalik, ja see on teistsugune viga kui reegel, mida kunagi ei loodud.
Märgi kavandatud kategooria, kas seda rakendatakse poliitikaga, ja aadressid, mis vajavad erandeid. See märkus vastab järgmisele teatele kaduvate jagamiste kohta faktiga profiilide ja ulatuste kohta, mitte uue teooriaga tunneli kohta.
Otsus on väike ja tagajärjed ei ole. Kategooria on tulemüüsi valija ja selle kosmeetikana kohtlemine on viis, kuidas toimiv teenus muutub mõistatuseks.