چرا آداپتر VPN همیشه در نمایهٔ کاری فرود می‌آید
ویندوز نمایهٔ دیوار آتش را به امضایی ضعیف روی آداپتر VPN گره می‌زند. مکان را با خط‌مشی تثبیت کنید و سپس بررسی کنید کدام نمایه واقعاً برقرار است.
تونل شرکت را متصل کنید و لپ‌تاپ بی‌صدا خصلت خود را عوض می‌کند. اشتراک فایل متوقف می‌شود، مرور بر اساس نام شکست می‌خورد، برنامه‌ای که پیش‌تر گوش می‌داد دیگر گوش نمی‌دهد، و تنظیمات اتصال را کاری یا شناسایی‌نشده نشان می‌دهد. سه راه برای تثبیت این طبقه‌بندی وجود دارد، و انتخاب میان آن‌ها به این بستگی دارد که دستگاه مدیریت می‌شود یا نه، برچسب بازهم برمی‌گردد یا نه، و آیا چیزی روی آن آداپتر واقعاً به کشف نیاز دارد.
برچسب در واقع چه چیزی را کنترل می‌کند
ویندوز هر شبکه را در یک دسته گروه‌بندی می‌کند و از آن نمایهٔ دیوار آتش را برمی‌گزیند. نمایهٔ عمومی اشتراک ورودی، کشف و درگاه‌های فایل و چاپگر را پیش از آنکه هر قاعده‌ای که اضافه می‌کنید بررسی شود رد می‌کند، در حالی که خصوصی بیشتر اجازه می‌دهد. برنامه‌هایی که پیش از ارائهٔ سرویس دسته را بررسی می‌کنند همان مقدار را می‌بینند.
این انتخاب خط‌مشی است، نه تصمیم مسیریابی. یک نشانی می‌تواند کاملاً در دسترس باشد و بازهم رد شود چون نمایهٔ برقرار قاعدهٔ منطبقی ندارد، و هیچ تعمیر مسیری این را تغییر نمی‌دهد. دو پرسش متفاوت، دو ابزار متفاوت. آمیختن این دو شایع‌ترین دلیل آن است که اصلاحی کار می‌کند و بعد متوقف می‌شود.
دسته برای هر شبکه ذخیره می‌شود و شبکه با امضا شناسایی می‌شود. در یک شبکهٔ محلی معمولی آن امضا شامل نشانی سخت‌افزاری دروازهٔ پیش‌فرض و پسوند DNS اتصال است، و آداپتر VPN معمولاً هر دو را ندارد. امضای ضعیف یعنی همان تونل پس از به‌روزرسانی کارخواه می‌تواند شبکه‌ای تازه به نظر برسد.
به همین دلیل برچسب به نظر می‌رسد خودبه‌خود عوض می‌شود. ویندوز بوالهوس نیست؛ فقط تونل را به‌عنوان شبکه‌ای که هفتهٔ گذشته طبقه‌بندی کرده بود نمی‌شناسد.
سه شرط که رویکرد را تعیین می‌کنند
شرط اول مالکیت است. روی لپ‌تاپ مدیریت‌شده تنظیم غالباً قفل است و تغییر محلی در تازه‌سازی بعدی خط‌مشی بازنویسی می‌شود. ستیز با این کار یک بعدازظهر را هدر می‌دهد؛ خط‌مشی کانال پشتیبانی‌شده و تنها کانالی است که می‌ماند.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
شرط دوم تکرار است. اگر برچسب بیش از یک بار برگشته باشد، مقدار هر شبکه از امضایی که تغییر کرده دوباره ساخته می‌شود و ویرایش دوباره دوام نمی‌آورد. مقادیر خط‌مشی در شاخه‌ای جدا زندگی می‌کنند که بر مقادیر هر کاربر که ویندوز هر بار با اتصال دوبارهٔ آداپتر بازمی‌سازد اولویت دارد.
شرط سوم نیاز است. برخی محیط‌ها واقعاً به حل نام و کشف از طریق تونل نیاز دارند و آن‌ها قاعده‌های باریک دیوار آتش برای نشانی‌های مشخص می‌خواهند نه انتقال کل آداپتر به خصوصی. عوض کردن دسته تا یک سرویس کار کند همان راهی است که تونل در پایان بیش از آنچه در نظر بود آشکار می‌کند.
به سه شرط پاسخ دهید و انتخاب خودبه‌خود روشن می‌شود. دو شرط که به خط‌مشی اشاره کنند یعنی خط‌مشی، و یکی که به آزمونی یک‌باره اشاره کند یعنی تغییری محلی که قصد دور انداختنش را دارید.
تثبیتش کنید و سپس بخوانید کدام نمایه برقرار است
خط‌مشی امنیت محلی تنظیم را زیر خط‌مشی‌های فهرست شبکه نشان می‌دهد. secpol.msc را باز کنید، آن گره را بگسترانید، ورودی شبکهٔ تونل را باز کنید، نوع مکان را عمومی بگذارید و اجازهٔ کاربر را طوری تنظیم کنید که مکان قابل تغییر نباشد. آن تنظیمات در شاخهٔ خط‌مشی‌ها در همان درخت جای می‌گیرند، از این رو بر مقادیر هر کاربر که اتصال دوباره بازنویسی می‌کند اولویت دارند.
عمومی معمولاً برای آداپتر VPN درست است، چون به‌طور پیش‌فرض اشتراک ورودی و کشف را مسدود می‌کند. این گزینهٔ محتاطانه برای تونلی است که ممکن است در بخشی نامطمئن فرود بیاید، و بعدتر می‌توان با قاعده‌های مشخص آن را سست کرد نه با تغییر دسته. گستردن دسته برای تعمیر یک سرویس معامله‌ای است که به‌سادگی برگشت‌پذیر نیست. یک قاعده در چند ثانیه حذف می‌شود.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabledفرمان اول دستهٔ برقرار را گزارش می‌کند نه آنچه در کادر گفت‌وگوست، و همین مقدار رفتار دیوار آتش را تعیین می‌کند. دومی تأیید می‌کند که نمایهٔ اعمال‌شده فعال است و واقعاً به کدام تکیه کرده‌اید.
توجه کنید این جفت چه چیزی را اثبات نمی‌کند. هیچ‌یک نشان نمی‌دهد آیا قاعدهٔ ورودی مشخصی وجود دارد، پس سرویسی که هنوز پاسخ نمی‌دهد به بررسی قاعده نیاز دارد نه تغییر دیگری در دسته.
وقتی نشانه دسته نیست
نشانگر شبکه می‌تواند از اتصال عقب بماند، و نسخه‌های قدیمی‌تر ویندوز نقصی مستند داشتند که در آن VPN با تونل اجباری به‌صورت محدود نمایش داده می‌شد در حالی که ترافیک جریان داشت و برنامه‌های بسته‌بندی‌شده از استفاده از آن خودداری می‌کردند. نشانگر اشتباه بود؛ تونل کار می‌کرد.
پس چیزی را بیازمایید که واقعاً برای کاربر مهم است نه نماد را. با نشانی به سرویس برسید، سپس با نام، سپس از طریق برنامه. هر گام مسیریابی، حل نام و خط‌مشی برنامه‌ها را جدا می‌کند، و دسته فقط در گام دیوار آتش وارد می‌شود.
اگر دسته درست است و سرویس هنوز شکست می‌خورد، دامنهٔ قاعده‌ها را بررسی کنید. قاعده‌ای که برای نمایهٔ خصوصی نوشته شده در همان لحظه که آداپتر عمومی است از تطابق بازمی‌ماند، و این خطایی متفاوت از قاعده‌ای است که هرگز ساخته نشد.
دستهٔ موردنظر، اینکه با خط‌مشی اعمال می‌شود یا نه، و نشانی‌هایی که به استثنا نیاز دارند را ثبت کنید. آن یادداشت به گزارش بعدی دربارهٔ اشتراک‌هایی که ناپدید می‌شوند با واقعیتی دربارهٔ نمایه‌ها و دامنه‌ها پاسخ می‌دهد، نه با نظریه‌ای دیگر دربارهٔ تونل.
تصمیم کوچک است و پیامدها نه. دسته یک گزینشگر دیوار آتش است، و برخورد کردن با آن به‌عنوان امری تزئینی همان راهی است که سرویسی کارآمد به معما بدل می‌شود.