למה מתאם VPN תמיד נוחת בפרופיל העבודה
Windows קושר את פרופיל חומת האש לחתימה חלשה במתאם ה-VPN. קבעו את המיקום במדיניות, ואז אמתו איזה פרופיל באמת בתוקף.
חברו את המנהרה הארגונית והמחשב הנייד משנה את אופיו בשקט. שיתוף הקבצים נעצר, העיון לפי שם נכשל, יישום שקודם לכן האזין מפסיק להאזין, וההגדרות מציגות את החיבור כעבודה או כלא מזוהה. יש שלוש דרכים לקבע את הסיווג הזה, והבחירה ביניהן תלויה בשאלה אם המכשיר מנוהל, אם התווית ממשיכה לחזור ואם משהו במתאם הזה באמת זקוק לגילוי.
מה התווית באמת שולטת בו
Windows מקבץ כל רשת לקטגוריה ובוחר ממנה פרופיל חומת אש. הפרופיל הציבורי דוחה שיתוף נכנס, גילוי ויציאות קבצים ומדפסות לפני שנבחנת כלל כלשהו שתוסיפו, ואילו הפרטי מתיר יותר. יישומים שבודקים את הקטגוריה לפני שהם חושפים שירות רואים את אותו ערך.
זו בחירת מדיניות, לא החלטת ניתוב. כתובת יכולה להיות נגישה לחלוטין ועדיין להידחות מפני שהפרופיל בתוקף אינו מכיל כלל מתאים, ושום תיקון מסלולים לא ישנה זאת. שתי שאלות שונות, שני כלים שונים. הערבוב ביניהן הוא הסיבה הנפוצה ביותר לכך שתיקון נראה כאילו הוא עובד ואז מפסיק.
הקטגוריה נשמרת לכל רשת, והרשת מזוהה לפי חתימה. ברשת מקומית רגילה החתימה כוללת את כתובת החומרה של שער ברירת המחדל ואת סיומת ה-DNS של החיבור, ומתאם VPN בדרך כלל חסר את שניהם. חתימה חלשה פירושה שאותה מנהרה יכולה להיראות כרשת חדשה לאחר עדכון לקוח.
לכן התווית נראית כמשתנה מעצמה. Windows אינו גחמני; הוא פשוט נכשל בזיהוי המנהרה כרשת שהוא סיווג בשבוע שעבר.
שלושה תנאים שקובעים את הגישה
התנאי הראשון הוא בעלות. במחשב נייד מנוהל ההגדרה לרוב נעולה, ושינוי מקומי יידרס ברענון המדיניות הבא. להילחם בזה עולה אחר צהריים שלם; המדיניות היא הערוץ הנתמך והיחיד שמחזיק.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
התנאי השני הוא הישנות. אם התווית חזרה יותר מפעם אחת, הערך לכל רשת נבנה מחדש מחתימה שהשתנתה, ועריכה נוספת לא תחזיק. ערכי מדיניות חיים בענף נפרד שגובר על הערכים לכל משתמש ש-Windows בונה מחדש בכל פעם שהמתאם מתחבר שוב.
התנאי השלישי הוא הצורך. יש סביבות שבאמת זקוקות לפתרון שמות ולגילוי דרך המנהרה, ואלה רוצות כללי חומת אש צרים לכתובות מסוימות במקום להעביר את כל המתאם לפרטי. החלפת הקטגוריה כדי ששירות אחד יעבוד היא הדרך שבה מנהרה בסופו של דבר חושפת יותר ממה שהתכוונו.
ענו על שלושת התנאים והבחירה תתבהר. שניים שמצביעים על מדיניות פירושם מדיניות, ואחד שמצביע על בדיקה חד-פעמית פירושו שינוי מקומי שאתם מתכוונים לזרוק.
קבעו אותו, ואז קראו איזה פרופיל בתוקף
מדיניות האבטחה המקומית מציגה את ההגדרה תחת מדיניות רשימת הרשתות. פתחו את secpol.msc, הרחיבו את הצומת הזה, פתחו את הרשומה של רשת המנהרה, הגדירו את סוג המיקום כציבורי והגדירו את הרשאת המשתמש כך שלא ניתן יהיה לשנות את המיקום. ההגדרות האלה נוחתות בענף המדיניות של אותו עץ, ולכן הן גוברות על הערכים לכל משתמש שחיבור מחדש כותב מחדש.
ציבורי הוא בדרך כלל הנכון למתאם VPN, מפני שהוא חוסם כברירת מחדל שיתוף נכנס וגילוי. זו הבחירה הזהירה למנהרה שעלולה לנחות בקטע לא מהימן, וניתן להקל בה מאוחר יותר בכללים ממוקדים במקום בשינוי קטגוריה. הרחבת הקטגוריה כדי לתקן שירות אחד היא עסקה שקשה לבטל. כלל מוסר בשניות.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabledהפקודה הראשונה מדווחת על הקטגוריה שבתוקף ולא על זו שבתיבת הדו-שיח, והערך הזה הוא שקובע את התנהגות חומת האש. השנייה מאשרת שהפרופיל שמוחל פעיל ושהוא זה שאתם באמת נשענים עליו.
שימו לב למה שהזוג לא מוכיח. אף אחת מהפקודות לא מראה אם קיים כלל נכנס מסוים, ולכן שירות שעדיין לא עונה זקוק לבדיקת כללים ולא לשינוי קטגוריה נוסף.
כשהתסמין אינו הקטגוריה
מחוון הרשת יכול לפגר אחרי החיבור, ולגרסאות Windows ישנות יותר היה פגם מתועד שבו VPN עם מנהרה כפויה הוצג כמוגבל בשעה שהתעבורה זרמה והיישומים הארוזים סירבו להשתמש בו. המחוון טעה; המנהרה עבדה.
אז בדקו את מה שבאמת חשוב למשתמש ולא את הסמל. הגיעו לשירות לפי כתובת, אחר כך לפי שם, ואחר כך דרך היישום. כל שלב מפריד בין ניתוב, פתרון שמות ומדיניות יישומים, והקטגוריה נכנסת רק בשלב חומת האש.
אם הקטגוריה נכונה והשירות עדיין נכשל, בדקו את היקף הכללים. כלל שנכתב לפרופיל הפרטי מפסיק להתאים ברגע שהמתאם ציבורי, וזה כשל שונה מכלל שמעולם לא נוצר.
תעדו את הקטגוריה המיועדת, אם היא נאכפת במדיניות, ואת הכתובות שזקוקות לחריגים. הרשומה הזו תענה לדיווח הבא על שיתופים נעלמים בעובדה על פרופילים והיקפים, ולא בעוד תיאוריה על המנהרה.
ההחלטה קטנה וההשלכות לא. קטגוריה היא בורר של חומת אש, והתייחסות אליה כאל עניין קוסמטי היא הדרך שבה שירות שעובד הופך לתעלומה.