Por que un adaptador VPN acaba sempre no perfil de traballo

Conecte o túnel corporativo e o portátil cambia de carácter en silencio. Detense a compartición de ficheiros, falla a navegación por nome, unha aplicación que escoitaba deixa de escoitar e Configuración mostra a conexión como Traballo ou Non identificada. Existen tres formas de fixar esa clasificación, e a escolla entre elas depende de se o dispositivo está xestionado, de se a etiqueta segue revertendo e de se algo precisa realmente detección nese adaptador.

Que controla realmente a etiqueta

Windows agrupa cada rede nunha categoría e escolle dela un perfil de devasa. O perfil Público rexeita a compartición entrante, a detección e os portos de ficheiros e impresoras antes de que se consulte calquera regra que engada, mentres que Privado permite máis. As aplicacións que comproban a categoría antes de expor un servizo ven o mesmo valor.

Trátase dunha selección de directiva, non dunha decisión de encamiñamento. Un enderezo pode ser perfectamente alcanzable e aínda así ser rexeitado porque o perfil en vigor non contén unha regra coincidente, e ningunha reparación de rutas cambiará iso. Dúas preguntas distintas, dúas ferramentas distintas. Mesturalas é a razón máis común de que unha solución pareza funcionar e logo pare.

A categoría gárdase por rede, e a rede identifícase mediante unha sinatura. Nunha LAN corrente esa sinatura inclúe o enderezo de hardware da pasarela predeterminada e o sufixo DNS da conexión, e un adaptador VPN normalmente carece de ambos. Unha sinatura feble significa que o mesmo túnel pode parecer unha rede nova tras unha actualización do cliente.

Por iso a etiqueta parece cambiar soa. Windows non actúa por capricho; o que ocorre é que non recoñece o túnel como a rede que clasificou a semana pasada.

Tres condicións que deciden o enfoque

A primeira condición é a propiedade. Nun portátil xestionado o axuste adoita estar bloqueado, e unha edición local será sobrescrita na seguinte actualización de directiva. Loitar contra iso é perder unha tarde; a directiva é a canle admitida e a única que se mantén.

A segunda condición é a recorrencia. Se a etiqueta reverteu máis dunha vez, o valor por rede estase reconstruíndo a partir dunha sinatura que cambiou, e editalo de novo non durará. Os valores de directiva viven nunha rama separada que ten prioridade sobre os valores por usuario que Windows reconstrúe cada vez que o adaptador se reconecta.

A terceira condición é a necesidade. Algúns contornos requiren de verdade resolución de nomes e detección a través do túnel, e eses queren regras de devasa estreitas para enderezos concretos en lugar de todo un adaptador pasado a Privado. Cambiar a categoría para que funcione un servizo é como un túnel acaba expoñendo máis do previsto.

Responda as tres condicións e a escolla faise soa. Dúas que apunten á directiva significan directiva, e unha que apunta a unha proba puntual significa unha edición local que pensa descartar.

Fíxelo e logo lea que perfil está en vigor

A directiva de seguridade local expón o axuste en Directivas do Administrador da lista de redes. Abra secpol.msc, despregue ese nodo, abra a entrada da rede do túnel, poña o tipo de localización en Público e axuste o permiso de usuario para que a localización non se poida cambiar. Eses axustes van á rama Directivas dese mesmo arbore, e por iso teñen prioridade sobre os valores por usuario que unha reconexión reescribe.

Público adoita ser o correcto para un adaptador VPN, porque bloquea por defecto a compartición entrante e a detección. É a opción conservadora para un túnel que pode caer nun segmento non fiable, e máis tarde pódese relaxar con regras concretas en lugar de cambiar a categoría. Ampliar a categoría para arranxar un servizo é un intercambio que non se desfai facilmente. Unha regra elimínase en segundos.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

O primeiro comando informa a categoría en vigor e non a do cadro de diálogo, e ese é o valor que decide o comportamento da devasa. O segundo confirma que o perfil aplicado está activado e en cal se está apoiando realmente.

Fíxese no que a parella non demostra. Ningún dos comandos mostra se existe unha regra entrante concreta, así que un servizo que segue sen responder precisa unha revisión de regras e non outro cambio de categoría.

Cando o síntoma non é a categoría

Un indicador de rede pode quedar atrás respecto da conexión, e versións antigas de Windows tiñan un defecto documentado polo que unha VPN de túnel forzado aparecía como Limitada mentres o tráfico fluía e as aplicacións empaquetadas negábanse a usala. O indicador estaba equivocado; o túnel funcionaba.

Así que probe o que de verdade importa ao usuario en lugar da icona. Chegue ao servizo por enderezo, despois por nome e despois a través da aplicación. Cada paso separa encamiñamento, resolución e directiva de aplicacións, e a categoría só entra no paso da devasa.

Se a categoría é correcta e o servizo segue fallando, revise o alcance das regras. Unha regra escrita para o perfil Privado deixa de coincidir no momento en que o adaptador é Público, e iso é unha falla distinta dunha regra que nunca se creou.

Anote a categoría prevista, se está imposta por directiva e os enderezos que precisan excepcións. Esa nota responde ao seguinte informe sobre comparticións que desaparecen cun feito sobre perfís e alcances en lugar doutra teoría sobre o túnel.

A decisión é pequena e as consecuencias non o son. Unha categoría é un selector de devasa, e tratala como algo cosmético é como un servizo que funciona se converte nun misterio.