Miksi VPN-sovitin päätyy aina työprofiiliin

Yhdistä yrityksen tunneli, ja kannettava muuttaa hiljaa luonnettaan. Tiedostojen jakaminen pysähtyy, nimellä selaaminen epäonnistuu, aiemmin kuunnellut sovellus lakkaa kuuntelemasta ja Asetukset näyttävät yhteyden työ- tai tunnistamattomana verkkoon. Tämän luokituksen lukitsemiseen on kolme tapaa, ja niiden välinen valinta riippuu siitä, hallitaanko laitetta, palaako tarra yhä takaisin ja tarvitseeko jokin sovittimella todella löytämistä.

Mitä tarra todella ohjaa

Windows ryhmittelee jokaisen verkon luokkaan ja valitsee siitä palomuuriprofiilin. Julkinen profiili hylkää saapuvan jakamisen, löytämisen sekä tiedosto- ja tulostinportit ennen kuin yhtään lisäämääsi sääntöä edes katsotaan, kun taas Yksityinen sallii enemmän. Sovellukset, jotka tarkistavat luokan ennen palvelun tarjoamista, näkevät saman arvon.

Tämä on käytäntövalinta, ei reitityspäätös. Osoite voi olla täysin tavoitettavissa ja silti hylätä, koska voimassa oleva profiili ei sisällä vastaavaa sääntöä, eikä mikään reitityksen korjaus muuta sitä. Kaksi eri kysymystä, kaksi eri työkalua. Niiden sekoittaminen on yleisin syy siihen, että ratkaisu näyttää toimivan ja sitten lakkaa.

Luokka tallennetaan verkkoittain, ja verkko tunnistetaan allekirjoituksesta. Tavallisessa lähiverkossa allekirjoitus sisältää oletusyhdyskäytävän laitteisto-osoitteen ja yhteyden DNS-liitteen, ja VPN-sovittimelta puuttuu yleensä molemmat. Heikko allekirjoitus tarkoittaa, että sama tunneli voi näyttää uudelta verkolta asiakaspäivityksen jälkeen.

Siksi tarra näyttää muuttuvan itsestään. Windows ei ole oikukas; se ei vain tunnista tunnelia verkoksi, jonka se luokitteli viime viikolla.

Kolme ehtoa, jotka ratkaisevat lähestymistavan

Ensimmäinen ehto on omistajuus. Hallitulla kannettavalla asetus on usein lukittu, ja paikallinen muutos korvataan seuraavassa käytännön päivityksessä. Sitä vastaan taisteleminen maksaa iltapäivän; käytäntö on tuettu kanava ja ainoa, joka pitää.

Toinen ehto on toistuvuus. Jos tarra on palannut takaisin useammin kuin kerran, verkkoittainen arvo rakennetaan uudelleen muuttuneesta allekirjoituksesta, eikä sen uudelleen muokkaaminen kestä. Käytännön arvot elävät erillisessä haarassa, joka ohittaa ne käyttäjäkohtaiset arvot, jotka Windows rakentaa uudelleen joka kerta, kun sovitin yhdistetään uudelleen.

Kolmas ehto on tarve. Jotkin ympäristöt todella vaativat nimien selvitystä ja löytämistä tunnelin yli, ja ne haluavat kapeita palomuurisääntöjä tietyille osoitteille sen sijaan, että koko sovitin siirrettäisiin Yksityiseen. Luokan vaihtaminen yhden palvelun saamiseksi toimimaan on tapa, jolla tunneli lopulta paljastaa enemmän kuin oli tarkoitus.

Vastaa kolmeen ehtoon ja valinta tehdään puolestasi. Kaksi käytäntöön osoittavaa tarkoittaa käytäntöä, ja yksi kertaluonteiseen testiin osoittava tarkoittaa paikallista muutosta, jonka aiot hylätä.

Lukitse se ja lue sitten, mikä profiili on voimassa

Paikallinen suojauskäytäntö näyttää asetuksen Verkkoluettelon käytännöt -kohdassa. Avaa secpol.msc, laajenna solmu, avaa tunnelin verkon merkintä, aseta sijaintityypiksi Julkinen ja aseta käyttäjän käyttöoikeus niin, ettei sijaintia voi muuttaa. Nämä asetukset päätyvät saman puun Käytännöt-haaraan, minkä vuoksi ne ohittavat ne käyttäjäkohtaiset arvot, jotka uudelleenyhdistäminen kirjoittaa uudelleen.

Julkinen on yleensä oikea VPN-sovittimelle, koska se estää oletuksena saapuvan jakamisen ja löytämisen. Se on varovainen valinta tunnelille, joka voi päätyä epäluotettuun segmenttiin, ja sitä voi myöhemmin löysätä tietyillä säännöillä luokan vaihtamisen sijaan. Luokan laajentaminen yhden palvelun korjaamiseksi on vaihtokauppa, jota ei ole helppo peruuttaa. Sääntö poistetaan sekunneissa.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Ensimmäinen komento ilmoittaa voimassa olevan luokan eikä sitä, joka on valintaikkunassa, ja juuri se arvo ratkaisee palomuurin toiminnan. Toinen vahvistaa, että käytettävä profiili on käytössä ja mihin todella luotat.

Huomaa, mitä pari ei todista. Kumpikaan komento ei näytä, onko tietty saapuva sääntö olemassa, joten palvelu, joka ei vieläkään vastaa, tarvitsee sääntötarkistuksen eikä uutta luokan muutosta.

Kun oire ei ole luokka

Verkkoilmaisin voi jäädä yhteydestä jälkeen, ja vanhemmissa Windows-versioissa oli dokumentoitu vika, jossa pakotetun tunnelin VPN näkyi rajoitettuna samalla kun liikenne kulki ja paketoidut sovellukset kieltäytyivät käyttämästä sitä. Ilmaisin oli väärässä; tunneli toimi.

Testaa siis sitä, mikä käyttäjälle todella merkitsee, eikä kuvaketta. Saavuta palvelu osoitteella, sitten nimellä ja sitten sovelluksen kautta. Jokainen vaihe erottaa reitityksen, selvityksen ja sovelluskäytännön, ja luokka tulee mukaan vasta palomuurivaiheessa.

Jos luokka on oikea ja palvelu epäonnistuu silti, tarkista sääntöjen laajuus. Yksityiselle profiilille kirjoitettu sääntö lakkaa täsmäämästä heti, kun sovitin on Julkinen, ja se on eri vika kuin sääntö, jota ei koskaan luotu.

Kirjaa aiottu luokka, onko se käytännöllä pakotettu, ja osoitteet, jotka tarvitsevat poikkeuksia. Se muistiinpano vastaa seuraavaan ilmoitukseen katoavista jako-osuuksista faktalla profiileista ja laajuuksista eikä uudella teorialla tunnelista.

Päätös on pieni ja seuraukset eivät. Luokka on palomuurin valitsin, ja sen pitäminen kosmeettisena on tapa, jolla toimivasta palvelusta tulee mysteeri.