Pourquoi un adaptateur VPN finit toujours dans le profil professionnel

Connectez le tunnel d’entreprise et l’ordinateur portable change discrètement de nature. Le partage de fichiers s’arrête, la navigation par nom échoue, une application qui écoutait cesse d’écouter, et les Paramètres affichent la connexion comme Professionnel ou Non identifié. Il existe trois façons de figer cette classification, et le choix entre elles dépend de si l’appareil est géré, de si l’étiquette ne cesse de revenir en arrière et de si quelque chose a réellement besoin de découverte sur cet adaptateur.

Ce que contrôle réellement l’étiquette

Windows regroupe chaque réseau dans une catégorie et en tire un profil de pare-feu. Le profil Public refuse le partage entrant, la découverte et les ports de fichiers et d’imprimantes avant même que la moindre règle ajoutée soit consultée, tandis que Privé en autorise davantage. Les applications qui vérifient la catégorie avant d’exposer un service voient la même valeur.

Il s’agit d’un choix de stratégie, non d’une décision de routage. Une adresse peut être parfaitement joignable et malgré tout refusée parce que le profil appliqué ne contient aucune règle correspondante, et aucune réparation de route n’y changera rien. Deux questions différentes, deux outils différents. Les confondre est la raison la plus fréquente pour laquelle un correctif semble fonctionner puis cesse de le faire.

La catégorie est stockée par réseau, et le réseau est identifié par une signature. Pour un réseau local ordinaire, cette signature comprend l’adresse matérielle de la passerelle par défaut et le suffixe DNS de la connexion, deux éléments dont un adaptateur VPN est généralement dépourvu. Une signature faible signifie que le même tunnel peut ressembler à un nouveau réseau après une mise à jour du client.

C’est pourquoi l’étiquette semble changer d’elle-même. Windows n’agit pas par caprice ; il échoue à reconnaître le tunnel comme le réseau qu’il a classé la semaine dernière.

Trois conditions qui décident de l’approche

La première condition est la propriété. Sur un ordinateur portable géré, le réglage est souvent verrouillé, et une modification locale sera écrasée à la prochaine actualisation de stratégie. Se battre contre cela coûte un après-midi ; la stratégie est le canal pris en charge et le seul qui tienne.

La deuxième condition est la récurrence. Si l’étiquette est revenue en arrière plus d’une fois, la valeur par réseau est reconstruite à partir d’une signature qui a changé, et la modifier de nouveau ne durera pas. Les valeurs de stratégie vivent dans une branche distincte qui prime sur les valeurs par utilisateur que Windows reconstruit à chaque reconnexion de l’adaptateur.

La troisième condition est le besoin. Certains environnements exigent réellement la résolution de noms et la découverte à travers le tunnel, et ceux-là veulent des règles de pare-feu étroites pour des adresses précises plutôt qu’un adaptateur entier basculé en Privé. Changer la catégorie pour faire fonctionner un service, c’est ainsi qu’un tunnel finit par exposer plus que prévu.

Répondez aux trois conditions et le choix se fait de lui-même. Deux d’entre elles qui pointent vers la stratégie signifient la stratégie, et une qui pointe vers un test ponctuel signifie une modification locale que vous comptez abandonner.

Figez-le, puis relisez quel profil est appliqué

La stratégie de sécurité locale expose le réglage sous Stratégies du gestionnaire de listes de réseaux. Ouvrez secpol.msc, développez ce nœud, ouvrez l’entrée du réseau du tunnel, réglez le type d’emplacement sur Public et réglez l’autorisation utilisateur pour que l’emplacement ne puisse pas être modifié. Ces réglages atterrissent dans la branche Stratégies de cette même arborescence, ce qui explique qu’ils priment sur les valeurs par utilisateur qu’une reconnexion réécrit.

Public est généralement le bon choix pour un adaptateur VPN, car il bloque par défaut le partage entrant et la découverte. C’est l’option prudente pour un tunnel susceptible d’aboutir sur un segment non fiable, et elle peut être assouplie plus tard par des règles précises plutôt que par un changement de catégorie. Élargir la catégorie pour réparer un service est un échange difficile à annuler. Une règle se supprime en quelques secondes.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

La première commande indique la catégorie appliquée et non celle de la boîte de dialogue, et c’est cette valeur qui décide du comportement du pare-feu. La seconde confirme que le profil appliqué est activé et sur lequel vous vous appuyez réellement.

Notez ce que le couple ne prouve pas. Aucune des deux commandes n’indique si une règle entrante précise existe, donc un service qui ne répond toujours pas exige une vérification des règles plutôt qu’une nouvelle modification de catégorie.

Quand le symptôme n’est pas la catégorie

Un indicateur réseau peut retarder sur la connexion, et d’anciennes versions de Windows présentaient un défaut documenté où un VPN à tunnel forcé apparaissait comme Limitée alors que le trafic circulait et que les applications empaquetées refusaient de l’utiliser. L’indicateur avait tort ; le tunnel fonctionnait.

Testez donc ce qui importe réellement à l’utilisateur plutôt que l’icône. Atteignez le service par adresse, puis par nom, puis via l’application. Chaque étape sépare le routage, la résolution et la stratégie d’application, et la catégorie n’intervient qu’à l’étape du pare-feu.

Si la catégorie est correcte et que le service échoue encore, vérifiez la portée des règles. Une règle écrite pour le profil Privé cesse de correspondre dès que l’adaptateur est Public, et c’est une panne différente d’une règle qui n’a jamais été créée.

Notez la catégorie voulue, si elle est imposée par stratégie et les adresses qui ont besoin d’exceptions. Cette note répond au prochain signalement de partages qui disparaissent par un fait sur les profils et les portées au lieu d’une nouvelle théorie sur le tunnel.

La décision est petite et les conséquences ne le sont pas. Une catégorie est un sélecteur de pare-feu, et la traiter comme un détail cosmétique est ainsi qu’un service qui fonctionne devient un mystère.