Pitääkö Windowsin VPN-sovittimen olla yksityinen vai julkinen?
Ratkaise kolmella kokeella, kuuluuko Windowsin VPN-sovitin yksityiseen profiiliin: luotettu polku, vakaa luokittelu ja säännöt, joita todella tarvitset.
Windowsin VPN-sovittimen asettaminen yksityiseksi on oikein yritystunnelille ja väärin kaupallisen VPN:n asiakkaalle, eikä ero ole kosmeettinen. Verkkoluokka valitsee palomuuriprofiilin, joten yksi muutos päästää kerralla läpi kokonaisen sääntöjoukon. Olen nähnyt kirjautumiskriptin, joka asetti jokaisen tunnistamattoman sovittimen yksityiseksi, mikä hiljaa paljasti tiedostojen jakamisen hotellin langattomassa verkossa. Kolme ehtoa ratkaisee vastauksen, ja kaikkien on täytyttävä ennen kuin kosket asetukseen.
Mitä luokka itse asiassa ratkaisee
Network Location Awareness rakentaa allekirjoituksen jokaiselle yhdistetylle verkolle siitä, mitä sovitin pystyy raportoimaan: yhdyskäytävän osoite ja MAC, DNS-liite, vastaako toimialueen ohjain ja pääseekö verkko internetiin. Windows liittää profiilin tuohon allekirjoitukseen, ja palomuuri soveltaa sitten kyseisen profiilin sääntöjoukkoa. Julkinen on varavaihtoehto, kun tunnistus epäonnistuu, minkä vuoksi toimiva tunneli voi silti olla merkitty tunnistamattomaksi verkoksi.
TUN- tai TAP-sovitin antaa tunnistukselle yleensä hyvin vähän tietoa. Tunnelivastapuoli on usein yksi osoite yhdyskäytävän sijaan, DNS voidaan työntää vain tunnelin sisällä, eikä sovittimella ole omaa oletusreittiä. Tuloksena oleva merkintä kuvaa palomuurin syötettä, ei tunnelin terveyttä, ja siksi yksityisen profiilin säännöt lakkaavat täsmäämästä sillä hetkellä, kun VPN yhdistää.
Ehto yksi: tunneli on luotettu polku
Yksityisen valitseminen väittää, että kaikki tämän liitännän kautta saavutettava on vähintään yhtä luotettavaa kuin oma lähiverkkosi, koska löytäminen ja saapuvat säännöt kohtelevat tuota aliverkkoa paikallisena. Yritystunnelille hallittuun aliverkkoon, jossa on tiedostopalvelimia ja tulostimia, väite pitää yleensä paikkansa. Sovitin on ovi verkkoon, jota organisaatiosi hallitsee, ja toisella puolella oleva kone on hyväksytty samalla käytännöllä, joka hyväksyi omasi.
Kaupallisen VPN:n ulostulo ei läpäise tätä koetta. Muut tilaajat jakavat ulostuloaliverkon, ja sen merkitseminen yksityiseksi asettaa verkon löytämisen, LLMNR:n ja NetBIOS-nimien ratkaisun täynnä vieraita olevaan segmenttiin. Jaettu tunneli voi myös epäonnistua: kun sovitin kantaa yhtä isäntäreittiä yhteen sovellukseen, ei ole luotettua aliverkkoa mistä puhua, eikä luokan muutos tuo sinulle mitään.
Ehto kaksi: luokittelu kestää uudelleenyhdistämiset
Uusi yhdyskäytävä tai DNS-liite tuottaa uuden allekirjoituksen, ja Windows tekee sitä varten tuoreen profiilipäätöksen. Kertaluonteinen Set-NetConnectionProfile kestää siis seuraavaan uudelleenyhdistämiseen, ei ikuisesti. Tarkista profiili uudelleenyhdistämisen jälkeen eikä ensimmäisen yhteyden jälkeen, koska silloin asetus palautuu itsestään.
On kolme tapaa tehdä siitä pysyvä. Puhtain on käytäntö: avaa secpol.msc, siirry kohtaan Network List Manager Policies ja aseta verkon sijaintityyppi, mukaan lukien tunnistamattoman verkon käytäntö, jotta profiili tulee käytännöstä eikä komennosta. Toinen on yhteyskohtainen skripti tai ajastettu tehtävä, joka suorittaa PowerShell-cmdletin tunnelin noustua. Kolmas on vanha reittitemppu, joka antaa tunnistukselle yhdyskäytävän tutkittavaksi:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileReittitemppu on kiertotie, ei luokittelu. Se hajoaa, kun metriikkasuhde muuttuu tai VPN-asiakas kirjoittaa reitit uudelleen yhdistäessään, ja se muuttaa hiljaa polun valintaa kaikelle, mikä putoaa toiselle oletusreitille.
Ehto kolme: tarvitset yksityisen sääntöjoukon
Yksityinen kantaa yleensä tiedostojen ja tulostimien jakamisen, verkon löytämisen ja etähallinnan ryhmät. Jos tehtävä on päästä tunnelin kautta SMB-jakoon tai tulostimeen, se on todellinen syy vaihtaa luokkaa. Jos tehtävä on lähtevä pääsy yhteen verkkosovellukseen, luokka on merkityksetön: kirjoita lähtevä sääntö, pidä julkinen ja lopeta siihen.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Lue taulukkoa lähtökohtana ja tarkista sitten, mitkä yksityiset säännöt ovat kuvassasi todella käytössä. Karkaistu kuva on ehkä poistanut tiedostojen jakamisen kokonaan yksityisestä profiilista, jolloin luokan muutos ei saavuta mitään ennen kuin lisäät säännön takaisin. Tämä tarkistus maksaa yhden komennon ja säästää pitkän iltapäivän.
Muutos ilman kaiken muun laajentamista
Kohdista liitännän indeksiin, älä jokerimerkkiin, ja lue luettelo ennen ja jälkeen:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileTallennetut profiilit elävät rekisterin NetworkList-avaimen alla, jossa Category-arvo erottaa julkiset, yksityiset ja toimialueverkot. Sen muokkaaminen on mahdollista ja helppo tehdä väärin: sinun on muutettava merkintä, joka vastaa sovittimen nykyistä allekirjoitusta, ei vanhempaa merkintää, jonka aiempi osoite jätti. Vanhentunut merkintä näyttää muokkaimessa oikealta eikä tee uudelleenyhdistämisessä mitään.
Tee mitä teet, älä toimita skriptiä, joka asettaa jokaisen tunnistamattoman sovittimen yksityiseksi. Se on yhden rivin versio löytämisen avaamisesta epäluotetussa langattomassa verkossa. Jos tarvitset jakamista vain tunnelin aliverkon kanssa, pidä profiili julkisena ja lisää rajatut saapuvat säännöt tunnelin etäosoitealueelle; palomuurisääntö on luokkaa kapeampi.
Tarkista jako, älä merkintä
Testaa muutoksen jälkeen itse resurssia sen sijaan, että luottaisit merkintään:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleJos jako edelleen epäonnistuu sovittimen näyttäessä yksityistä, luokka ei ole enää ongelmasi. Nimien ratkaisu, puuttuva reitti tai jakamisoikeudet tuottavat saman oireen, eikä profiilin vaihtaminen uudelleen korjaa yhtäkään niistä. Yhdistä kerran uudelleen ja suorita Get-NetConnectionProfile uudelleen varmistaaksesi, että asetus pysyi, ja käsittele sitten jäljellä oleva vika tavallisena SMB-ongelmana.
Tarkistuslista: varmista, että tunneli on hallittu polku, että profiili kestää uudelleenyhdistämisen, että tarvittavat yksityiset säännöt ovat kuvassa ja että jako ratkeaa ja vastaa portissa 445. Jos jokin kolmesta ensimmäisestä on väärin, jätä sovitin julkiseksi ja ratkaise pääsyongelma rajatulla säännöllä.