Windows VPN egokitzailea pribatua ala publikoa izan behar da?
Erabaki Windows VPN egokitzaile bat profil pribatuan sartzen den hiru probarekin: bide fidagarria, klasifikazio egonkorra eta benetan behar dituzun arauak.
Windows VPN egokitzaile bat Pribatu gisa ezartzea zuzena da enpresa-tunel baterako eta okerra VPN komertzial baten bezerorako, eta aldea ez da kosmetikoa. Sare-kategoriak suebakiaren profila hautatzen du, beraz aldaketa batek arau-multzo oso bat onartzen du aldi berean. Hotel bateko haririk gabeko sarean fitxategi-partekatzea isilean agerian utzi zuen saio-hasierako script bat ikusi dut, egokitzaile ezezagun guztiak Pribatu gisa ezartzen zituena. Hiru baldintzek erabakitzen dute erantzuna, eta guztiek bete behar dute ezarpena ukitu aurretik.
Zer erabakitzen du kategoriak benetan
Network Location Awareness-ek sinadura bat eraikitzen du konektatutako sare bakoitzarentzat, egokitzaileak jakinaraz dezakeenetik abiatuta: atebidearen helbidea eta MAC, DNS atzizkia, domeinu-kontrolatzaile batek erantzuten duen eta sareak internetera iristen den. Windows-ek profila lotzen dio sinadura horri, eta gero suebakiak profil horretako arau-multzoa aplikatzen du. Publikoa da identifikazioak huts egiten duenean erortzen den aukera, eta horregatik funtzionatzen duen tunel bat sare identifikatu gabe gisa etiketatuta egon daiteke oraindik.
TUN edo TAP egokitzaile batek oso informazio gutxi ematen dio identifikazioari. Tunelaren beste aldea atebide bat baino helbide bakar bat izan ohi da, DNS tunelaren barruan soilik bultza daiteke, eta egokitzaileak ez du bere bide lehenetsirik. Lortutako etiketak suebakiaren sarrera deskribatzen du, ez tunelaren osasuna, eta horregatik uzten diote profil pribatuko arauek bat etortzeari VPN-a konektatzen den unean.
Lehen baldintza: tunela da bide fidagarria
Pribatu hautatzeak dio interfaze honen bidez iristeko moduko guztia zure LAN propioa bezain fidagarria dela gutxienez, zeren aurkikuntzak eta sarrerako arauek azpisare hori lokal gisa tratatuko baitute. Fitxategi-zerbitzariak eta inprimagailuak dituen azpisare kudeatu baterako enpresa-tunel batentzat, baieztapena normalean betetzen da. Egokitzailea zure erakundeak kontrolatzen duen sare baterako atea da, eta beste aldeko makinak zurea onartu zuen politika berak onartu zuen.
VPN komertzial baten irteerak ez du proba hau gainditzen. Beste harpidetu batzuek irteera-azpisarea partekatzen dute, eta hura Pribatu gisa markatzeak sare-aurkikuntza, LLMNR eta NetBIOS izen-ebazpena ezezagunez betetako segmentu batera eramaten ditu. Tunel zatituak ere huts egin dezake: egokitzaileak aplikazio bakar baterako host-bide bakarra daramanean, ez dago fidagarria den azpisarerik, eta kategoriaren aldaketak ez dizu ezer ematen.
Bigarren baldintza: klasifikazioak berriz konektatzeak gainditzen ditu
Atebide berri batek edo DNS atzizki berri batek sinadura berria sortzen du, eta Windows-ek profil-erabaki berria hartzen du harengatik. Beraz, behin-behineko Set-NetConnectionProfile hurrengo berriz konekatzera arte irauten du, ez betirako. Egiaztatu profila berriz konektatu ondoren eta ez lehen konexioaren ondoren, orduan itzultzen baita ezarpena bere kabuz.
Hori iraunkorra egiteko hiru modu daude. Garbiena politika da: ireki secpol.msc, joan Network List Manager Policies atalera eta ezarri sarearen kokapen mota, sare identifikatu gabekoaren politika barne, profila agindu baten ordez politikaren bidez aplika dadin. Bigarrena konexio bakoitzeko script bat edo zeregin programatu bat da, tunela altxatu ondoren PowerShell cmdleta exekutatzen duena. Hirugarrena bide-trikimailu zaharra da, identifikazioari aztertzeko atebide bat ematen diona:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileBide-trikimailua lan egiteko modu bat da, ez klasifikazio bat. Metrika-erlazioa aldatzen denean edo VPN bezeroak berriz konektatzean bideak berridazten dituenean hausten da, eta isilean aldatzen du bigarren bide lehenetsira erortzen den edozeren bide-hautaketa.
Hirugarren baldintza: arau pribatuen multzoa behar duzu
Pribatuak fitxategi- eta inprimagailu-partekatzea, sare-aurkikuntza eta urruneko administrazioaren taldeak eramaten ditu normalean. Zeregina tunelaren bidez SMB partekatze batera edo inprimagailu batera iristea bada, hori da kategoria aldatzeko benetako arrazoia. Zeregina web aplikazio baterako irteerako sarbidea bada, kategoria garrantzirik gabea da: idatzi irteerako araua, mantendu Publikoa eta gelditu hor.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Irakurri taula abiapuntu gisa eta gero egiaztatu zein arau pribatu dauden benetan gaituta zure irudian. Gogortutako irudi batek fitxategi-partekatzea erabat kendu ahal izan du profil pribatutik, eta orduan kategoriaren aldaketak ez du ezer lortzen araua berriro gehitzen duzun arte. Egiaztapen horrek agindu bat kostatzen du eta arratsalde luze bat aurrezten du.
Aldaketa egin beste guztia zabaldu gabe
Helbideratu interfazearen indizea, ez komodin bat, eta irakurri zerrenda aurretik eta ondoren:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileGordetako profilak erregistroko NetworkList gakoaren azpian bizi dira, eta han Category balioak sare publikoak, pribatuak eta domeinukoak bereizten ditu. Hura editatzea posible da eta erraza da gaizki egitea: egokitzailearen uneko sinadurari dagokion sarrera aldatu behar duzu, ez aurreko helbide batek utzitako sarrera zaharrago bat. Sarrera zaharkitua zuzena dirudi editorean eta ez du ezer egiten berriz konektatzean.
Edozer egiten duzula ere, ez zabaldu egokitzaile ezezagun guztiak Pribatu gisa jartzen dituen script bat. Hori da hari gabeko sare ez-fidagarri batean aurkikuntza irekitzearen lerro bakarreko bertsioa. Partekatzea tunelaren azpisarearekin soilik behar baduzu, mantendu profila Publikoa eta gehitu sarrerako arau mugatuak tunelaren urruneko helbide-tarterako; suebakiaren araua kategoriak baino estuagoa da.
Egiaztatu partekatzea, ez etiketa
Aldaketaren ondoren, probatu baliabidea bera etiketari fidatu beharrean:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.examplePartekatzeak huts egiten jarraitzen badu egokitzaileak Pribatu erakusten duen bitartean, kategoria ez da jada zure arazoa. Izen-ebazpenak, falta den bide batek edo partekatze-baimenek sintoma bera sortuko dute, eta profilaren beste aldaketa batek ezin du horietako bat bera ere konpondu. Konektatu berriro behin eta exekutatu berriro Get-NetConnectionProfile ezarpenak iraun duela baieztatzeko, eta gero landu gainerako hutsegitea SMB arazo arrunt gisa.
Egiaztapen-zerrenda: berretsi tunela kudeatutako bidea dela, profilak berriz konektatzea gainditzen duela, behar dituzun arau pribatuak irudian daudela eta partekatzeak ebazten eta 445 portuan erantzuten duela. Lehenengo hiruretako edozein faltsua bada, utzi egokitzailea Publikoan eta konpondu sarbide-arazoa arau mugatu batekin.