Moat jo Windows VPN-adapter privee of iepenbier wêze?
Bepale mei trije tests oft in Windows VPN-adapter by it priveeprofyl heart: fertroude paad, stabile klassifikaasje en regels dy't jo echt nedich hawwe.
In Windows VPN-adapter op Privee sette is goed foar in bedriuwstunnel en ferkeard foar in kommersjele VPN-klant, en it ferskil is net kosmetysk. De netwurkkaategory kiest in firewallprofyl, sadat ien feroaring tagelyk in hiele regelset talit. Ik haw in oanmeldskript sjoen dat elk ûnbekend adapter op Privee sette, wat stilwei bestânsdieling op in hotelwikselnet bleatlei. Trije betingsten beslisse it antwurd, en allegear moatte jilde foardat jo de ynstelling oanreitsje.
Wat de kategory eins beslisset
Network Location Awareness bout in hantekening foar elk ferbûn netwurk út wat it adapter melde kin: it gatewayadres en MAC, it DNS-efterheaksel, oft in domeincontroller antwurdet en oft it netwurk it ynternet berikt. Windows koppellet in profyl oan dy hantekening, en de firewall past dêrnei de regelset foar dat profyl ta. Iepenbier is de weromfal as identifikaasje mislearret, dêrom kin in wurkjende tunnel noch altyd as ûnbekend netwurk markearre wurde.
In TUN- of TAP-adapter jout identifikaasje meastentiids hiel lyts bytsje om mei te wurkjen. De tunnelpartner is faak ien adres ynstee fan in gateway, DNS wurdt miskien allinnich binnen de tunnel stjoerd, en it adapter hat gjin eigen standertrûte. It resultearjende label beskriuwt de firewallynfier, net de sûnens fan de tunnel, en dat is de reden dat regels fan it priveeprofyl ophâlde te passen op it stuit dat de VPN ferbynt.
Betingst ien: de tunnel is it fertroude paad
Privee kieze beweart dat alles wat troch dit ynterface berikber is teminsten like betrouber is as jo eigen LAN, om't ûntdekking en ynkommende regels dat subnet as lokaal behannelje. Foar in bedriuwstunnel nei in beheard subnet mei bestânsservers en printers jildt de bewearing meastentiids. It adapter is in doar nei in netwurk dat jo organisaasje kontrolearret, en de masine oan de oare kant waard talitten troch itselde belied dat dy fan jo taliet.
In kommersjele VPN-útgong slagget net foar dizze test. Oare abonnees diele it útgongssubnet, en it Privee markearje set netwurkûntdekking, LLMNR en NetBIOS-nammeoplossing op in segmint fol frjemden. Splist tunnel kin ek mislearje: as it adapter ien hostrûte nei ien applikaasje draacht, is der gjin fertroud subnet om oer te praten, en de kategoryferoaring bringt jo neat.
Betingst twa: de klassifikaasje oerlibbet ferbiningen op nij
In nije gateway of DNS-efterheaksel produsearret in nije hantekening, en Windows nimt dêrfoar in fars profylbeslút. In ienmalige Set-NetConnectionProfile hâldt dêrom oant de folgjende ferbining op nij, net foar altyd. Kontrolearje it profyl nei in ferbining op nij en net nei de earste ferbining, want dan falt de ynstelling fansels werom.
Der binne trije manieren om it duorjend te meitsjen. De skjinste is belied: iepenje secpol.msc, gean nei Network List Manager Policies en set it lokaasjetype foar it netwurk, ynklusyf it belied foar ûnbekende netwurken, sadat it profyl troch belied tapast wurdt en net troch in opdracht. De twadde is in skript per ferbining of in plande taak dy't it PowerShell-cmdlet rint as de tunnel omheech is. De tredde is de âlde rûte-trick, dy't identifikaasje in gateway jout om te ûndersykjen:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileDe rûte-trick is in omwei, gjin klassifikaasje. Hy brekt as de metrikeferhâlding feroaret of de VPN-klant by it opnij ferbinen rûtes oerskriuwt, en hy feroaret stilwei paadkar foar alles wat op de twadde standertrûte falt.
Betingst trije: jo hawwe de priveeregelset nedich
Privee draacht meastentiids Bestâns- en Printerdieling, Netwurkûntdekking en de groepen foar behear op ôfstân. As de taak is om in SMB-dieling of in printer troch de tunnel te berikken, is dat de echte reden om de kategory te feroarjen. As de taak útgeande tagong ta ien webapplikaasje is, is de kategory net fan belang: skriuw de útgeande regel, hâld Iepenbier en stop dêr.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Lês de tabel as útgongspunt en kontrolearje dan hokker priveeregels echt ynskeakele binne op jo byld. In hurde ôfbylding hat miskien bestânsdieling hielendal út it priveeprofyl helle, en dan berikt de kategoryferoaring neat oant jo de regel wer tafoegje. Dy kontrôle kostet ien opdracht en sparret in lange middei.
De feroaring meitsje sûnder al it oare te ferbreedzjen
Rjochtsje op de ynterface-yndeks, net op in wildcard, en lês de list foar en nei:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileBewarre profilen libje ûnder de NetworkList-kaai yn it register, dêr't de wearde Category iepenbiere, privee en domeinnetwurken skiedt. It bewurkjen is mooglik en maklik ferkeard: jo moatte de ynfier feroarje dy't by de hjoeddeiske hantekening fan it adapter past, net in âldere ynfier dy't in earder adres efterlitten hat. In ferâldere ynfier sjocht der yn 'e bewurker goed út en docht neat by it opnij ferbinen.
Wat jo ek dogge, leverje gjin skript dat elk ûnbekend adapter op Privee set. Dat is de ienrige ferzje fan ûntdekking iepenjen op net fertroud wikselnet. As jo dieling allinnich mei it tunnelsubnet nedich hawwe, hâld it profyl Iepenbier en foegje beheinde ynkommende regels ta foar it fiere adresberik fan de tunnel; de firewallregel is smeller as de kategory.
Kontrolearje de dieling, net it label
Test nei de feroaring it boarne sels ynstee fan it label te fertrouwen:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleAs de dieling noch mislearret wylst it adapter Privee toant, is de kategory net mear jo probleem. Nammeoplossing, in ûntbrekkende rûte of dielingsrjochten jouwe itselde symptoom, en in nije profylferoaring kin gjinien dêrfan reparearje. Ferbyn ien kear op nij en rin Get-NetConnectionProfile wer om te befêstigjen dat de ynstelling hold, en behannelje dêrnei de oerbliuwende flater as in gewoan SMB-probleem.
Kontrolelist: befêstigje dat de tunnel in beheard paad is, dat it profyl in ferbining op nij oerlibbet, dat de priveeregels dy't jo nedich hawwe op it byld besteane en dat de dieling oplost en antwurdet op poarte 445. As ien fan 'e earste trije ûnwier is, lit it adapter dan op Iepenbier en los it tagongsprobleem op mei in beheinde regel.