آیا آداپتور VPN ویندوز باید خصوصی باشد یا عمومی؟
با سه آزمون تصمیم بگیرید که آیا آداپتور VPN ویندوز به پروفایل خصوصی تعلق دارد: مسیر مورد اعتماد، طبقه‌بندی پایدار و قواعدی که واقعاً نیاز دارید.
تنظیم آداپتور VPN ویندوز روی «خصوصی» برای یک تونل شرکتی درست و برای یک کلاینت VPN تجاری غلط است، و این تفاوت ظاهری نیست. دستۀ شبکه پروفایل فایروال را انتخاب می‌کند، بنابراین یک تغییر به‌طور همزمان مجموعه‌ای کامل از قواعد را باز می‌کند. دیده‌ام که اسکریپتی هنگام ورود، هر آداپتور شناسایی‌نشده را روی «خصوصی» می‌گذاشت و این کار بی‌سروصدا اشتراک فایل را روی شبکۀ بی‌سیم هتلی آشکار کرد. سه شرط این پاسخ را تعیین می‌کنند و همه باید برقرار باشند پیش از آنکه به تنظیم دست بزنید.
این دسته در واقع چه چیزی را تعیین می‌کند
Network Location Awareness از چیزهایی که آداپتور می‌تواند گزارش دهد، برای هر شبکۀ متصل یک امضا می‌سازد: نشانی دروازه و MAC، پسوند DNS، اینکه آیا کنترلر دامنه پاسخ می‌دهد و اینکه آیا شبکه به اینترنت می‌رسد. ویندوز پروفایلی به آن امضا پیوند می‌دهد و سپس فایروال مجموعۀ قواعد همان پروفایل را اعمال می‌کند. «عمومی» گزینۀ جایگزین است وقتی شناسایی شکست می‌خورد، و به همین دلیل یک تونل کارآمد می‌تواند هنوز شبکۀ شناسایی‌نشده برچسب بخورد.
یک آداپتور TUN یا TAP معمولاً اطلاعات بسیار کمی در اختیار شناسایی می‌گذارد. طرف مقابل تونل غالباً یک نشانی واحد است نه یک دروازه، DNS ممکن است فقط درون تونل فرستاده شود و آداپتور مسیر پیش‌فرض خودش را ندارد. برچسبی که حاصل می‌شود ورودی فایروال را توصیف می‌کند نه سلامت تونل را، و همین دلیل آن است که قواعد پروفایل خصوصی درست در لحظۀ اتصال VPN از تطابق بازمی‌مانند.
شرط یکم: تونل همان مسیر مورد اعتماد است
انتخاب «خصوصی» این ادعا را می‌کند که هر چیزی که از این رابط قابل دسترسی است، دست‌کم به اندازۀ LAN خودتان قابل اعتماد است، زیرا کشف شبکه و قواعد ورودی آن زیرشبکه را محلی می‌شمارند. برای یک تونل شرکتی به یک زیرشبکۀ مدیریت‌شده با سرورهای فایل و چاپگر، این ادعا معمولاً درست است. آداپتور دری به شبکه‌ای است که سازمان شما آن را کنترل می‌کند و دستگاه آن‌سو با همان سیاستی پذیرفته شده که دستگاه شما را پذیرفته است.
خروجی یک VPN تجاری این آزمون را رد نمی‌کند. مشترکان دیگر زیرشبکۀ خروجی را شریک‌اند و علامت‌زدن آن به‌عنوان خصوصی، کشف شبکه، LLMNR و تفکیک نام NetBIOS را روی قطعه‌ای پر از غریبه قرار می‌دهد. تونل تقسیم‌شده هم می‌تواند شکست بخورد: وقتی آداپتور یک مسیر میزبان به یک برنامه را حمل می‌کند، هیچ زیرشبکۀ مورد اعتمادی در کار نیست و تغییر دسته چیزی به شما نمی‌دهد.
شرط دوم: طبقه‌بندی از اتصال‌های دوباره جان سالم به در می‌برد
دروازه‌ای تازه یا پسوند DNS تازه امضایی تازه می‌سازد و ویندوز برای آن تصمیم پروفایل تازه‌ای می‌گیرد. پس Set-NetConnectionProfile یک‌باره تا اتصال دوبارۀ بعدی دوام می‌آورد، نه برای همیشه. پروفایل را پس از اتصال دوباره بررسی کنید نه پس از نخستین اتصال، زیرا همان زمان است که تنظیم خودبه‌خود برمی‌گردد.
سه راه برای پایدارکردن آن هست. پاک‌ترین راه سیاست است: secpol.msc را باز کنید، به Network List Manager Policies بروید و نوع مکان را برای شبکه تنظیم کنید، از جمله سیاست شبکۀ شناسایی‌نشده، تا پروفایل با سیاست اعمال شود نه با فرمان. راه دوم اسکریپتی برای هر اتصال یا وظیفه‌ای زمان‌بندی‌شده است که پس از بالا آمدن تونل، cmdlet پاورشل را اجرا می‌کند. راه سوم ترفند دیرینۀ مسیر است که به شناسایی یک دروازه برای کاوش می‌دهد:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileترفند مسیر یک راه دور زدن است، نه یک طبقه‌بندی. وقتی رابطۀ متریک عوض شود یا کلاینت VPN هنگام اتصال دوباره مسیرها را بازنویسی کند می‌شکند، و بی‌سروصدا انتخاب مسیر را برای هر چیزی که به مسیر پیش‌فرض دوم بیفتد تغییر می‌دهد.
شرط سوم: به مجموعۀ قواعد خصوصی نیاز دارید
«خصوصی» معمولاً اشتراک فایل و چاپگر، کشف شبکه و گروه‌های مدیریت از راه دور را حمل می‌کند. اگر کار رسیدن به یک اشتراک SMB یا چاپگر از طریق تونل است، همین دلیل واقعی تغییر دسته است. اگر کار دسترسی خروجی به یک برنامۀ وب است، دسته بی‌ربط است: قاعدۀ خروجی را بنویسید، «عمومی» را نگه دارید و همان‌جا بایستید.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
جدول را نقطۀ آغاز بخوانید و سپس بررسی کنید کدام قواعد خصوصی واقعاً روی تصویر شما فعال‌اند. ممکن است یک تصویر سخت‌شده اشتراک فایل را کاملاً از پروفایل خصوصی حذف کرده باشد، و در آن صورت تغییر دسته هیچ کاری نمی‌کند تا قاعده را بازگردانید. آن بررسی یک فرمان می‌برد و یک بعدازظهر طولانی را ذخیره می‌کند.
انجام تغییر بدون گستردن هر چیز دیگر
شاخص رابط را هدف بگیرید نه یک نویسه‌عام، و فهرست را پیش و پس بخوانید:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileپروفایل‌های ذخیره‌شده زیر کلید NetworkList در رجیستری زندگی می‌کنند، جایی که مقدار Category شبکه‌های عمومی، خصوصی و دامنه‌ای را جدا می‌کند. ویرایش آن ممکن و آسان در خطاست: باید ورودی‌ای را تغییر دهید که با امضای کنونی آداپتور می‌خواند، نه ورودی قدیمی‌تری که نشانی پیشین به جا گذاشته است. ورودی کهنه در ویرایشگر درست به نظر می‌رسد و هنگام اتصال دوباره هیچ کاری نمی‌کند.
هر کاری می‌کنید، اسکریپتی منتشر نکنید که هر آداپتور شناسایی‌نشده را خصوصی کند. این نسخۀ یک‌خطی بازکردن کشف روی شبکۀ بی‌سیم غیرقابل اعتماد است. اگر اشتراک‌گذاری فقط با زیرشبکۀ تونل لازم است، پروفایل را عمومی نگه دارید و قواعد ورودی محدود به بازۀ نشانی‌های دور تونل اضافه کنید؛ قاعدۀ فایروال از دسته باریک‌تر است.
اشتراک را بررسی کنید نه برچسب را
پس از تغییر، خود منبع را بیازمایید نه اینکه به برچسب اعتماد کنید:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleاگر اشتراک هنوز شکست می‌خورد در حالی که آداپتور «خصوصی» نشان می‌دهد، دسته دیگر مشکل شما نیست. تفکیک نام، مسیر گمشده یا مجوزهای اشتراک همین نشانه را تولید می‌کنند و تغییر دوبارۀ پروفایل هیچ‌یک را ترمیم نمی‌کند. یک‌بار دوباره وصل شوید و Get-NetConnectionProfile را بازاجرا کنید تا تأیید شود تنظیم پایدار مانده، سپس شکست باقی‌مانده را به‌عنوان یک مشکل عادی SMB حل کنید.
سیاهۀ بررسی: تأیید کنید تونل یک مسیر مدیریت‌شده است، پروفایل از اتصال دوباره جان سالم به در می‌برد، قواعد خصوصی لازم روی تصویر وجود دارند و اشتراک تفکیک می‌شود و روی درگاه 445 پاسخ می‌دهد. اگر هر یک از سه مورد نخست نادرست بود، آداپتور را روی عمومی بگذارید و مشکل دسترسی را با یک قاعدۀ محدود حل کنید.