क्या Windows VPN एडाप्टर निजी होना चाहिए या सार्वजनिक?
तीन परीक्षणों से तय करें कि Windows VPN एडाप्टर निजी प्रोफ़ाइल में आता है या नहीं: विश्वसनीय पथ, स्थिर वर्गीकरण और वे नियम जिनकी आपको वास्तव में ज़रूरत है।
Windows VPN एडाप्टर को निजी पर सेट करना कॉर्पोरेट टनल के लिए सही है और व्यावसायिक VPN क्लाइंट के लिए गलत, और यह अंतर दिखावटी नहीं है। नेटवर्क श्रेणी फ़ायरवॉल प्रोफ़ाइल चुनती है, इसलिए एक बदलाव एक साथ पूरा नियम-समूह खोल देता है। मैंने एक लॉगिन स्क्रिप्ट देखी है जो हर अज्ञात एडाप्टर को निजी बना देती थी, जिसने होटल के वायरलेस नेटवर्क पर फ़ाइल साझाकरण चुपचाप उजागर कर दिया। तीन शर्तें इस उत्तर का निर्धारण करती हैं, और सेटिंग छूने से पहले सभी सत्य होनी चाहिए।
श्रेणी वास्तव में क्या तय करती है
Network Location Awareness हर जुड़े नेटवर्क के लिए उसी से एक हस्ताक्षर बनाता है जो एडाप्टर बता सकता है: गेटवे का पता और MAC, DNS प्रत्यय, कोई डोमेन नियंत्रक उत्तर देता है या नहीं, और नेटवर्क इंटरनेट तक पहुँचता है या नहीं। Windows उस हस्ताक्षर से एक प्रोफ़ाइल जोड़ता है, और फिर फ़ायरवॉल उस प्रोफ़ाइल का नियम-समूह लागू करता है। पहचान विफल होने पर सार्वजनिक विकल्प होता है, इसलिए काम करती टनल भी अज्ञात नेटवर्क के रूप में चिह्नित रह सकती है।
TUN या TAP एडाप्टर सामान्यतः पहचान को बहुत कम जानकारी देता है। टनल का साथी अक्सर गेटवे के बजाय एक ही पता होता है, DNS केवल टनल के भीतर भेजा जा सकता है, और एडाप्टर का अपना कोई डिफ़ॉल्ट रूट नहीं होता। परिणामी लेबल फ़ायरवॉल के इनपुट का वर्णन करता है, टनल के स्वास्थ्य का नहीं, और यही कारण है कि VPN जुड़ते ही निजी प्रोफ़ाइल के नियम मेल खाना बंद कर देते हैं।
शर्त एक: टनल विश्वसनीय पथ है
निजी चुनना यह दावा है कि इस इंटरफ़ेस से पहुँचने योग्य सब कुछ कम से कम आपके अपने LAN जितना भरोसेमंद है, क्योंकि खोज और आवक नियम उस सबनेट को स्थानीय मानेंगे। फ़ाइल सर्वर और प्रिंटर वाले प्रबंधित सबनेट में कॉर्पोरेट टनल के लिए यह दावा सामान्यतः सही रहता है। एडाप्टर उस नेटवर्क का द्वार है जिसे आपका संगठन नियंत्रित करता है, और दूसरी ओर की मशीन उसी नीति से स्वीकार हुई है जिसने आपकी मशीन को स्वीकार किया।
व्यावसायिक VPN निकास इस परीक्षण में विफल रहता है। अन्य ग्राहक निकास सबनेट साझा करते हैं, और उसे निजी चिह्नित करने से नेटवर्क खोज, LLMNR और NetBIOS नाम-समाधान अजनबियों से भरे सेगमेंट पर चला जाता है। विभाजित टनल भी विफल हो सकती है: जब एडाप्टर एक एप्लिकेशन के लिए एक ही होस्ट रूट ले जाता है, तो कहने लायक कोई विश्वसनीय सबनेट नहीं होता, और श्रेणी बदलने से आपको कुछ नहीं मिलता।
शर्त दो: वर्गीकरण पुनः कनेक्शन में टिकता है
नया गेटवे या DNS प्रत्यय नया हस्ताक्षर बनाता है, और Windows उसके लिए नया प्रोफ़ाइल निर्णय लेता है। इसलिए एकबारगी Set-NetConnectionProfile अगले पुनः कनेक्शन तक टिकता है, हमेशा नहीं। प्रोफ़ाइल को पहले कनेक्शन के बाद नहीं, पुनः कनेक्शन के बाद जाँचें, क्योंकि तभी सेटिंग अपने आप लौट आती है।
इसे स्थायी बनाने के तीन तरीके हैं। सबसे स्वच्छ नीति है: secpol.msc खोलें, Network List Manager Policies पर जाएँ और नेटवर्क के लिए स्थान प्रकार सेट करें, जिसमें अज्ञात-नेटवर्क नीति भी शामिल है, ताकि प्रोफ़ाइल कमांड के बजाय नीति से लागू हो। दूसरा प्रति-कनेक्शन स्क्रिप्ट या निर्धारित कार्य है जो टनल आने के बाद PowerShell cmdlet चलाता है। तीसरा पुरानी रूट-युक्ति है, जो पहचान को जाँचने के लिए गेटवे देती है:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileरूट-युक्ति एक उपाय है, वर्गीकरण नहीं। मीट्रिक संबंध बदलने या VPN क्लाइंट के पुनः कनेक्शन पर रूट फिर से लिखने से यह टूट जाती है, और दूसरे डिफ़ॉल्ट रूट पर पड़ने वाली हर चीज़ के लिए पथ-चयन चुपचाप बदल देती है।
शर्त तीन: आपको निजी नियम-समूह चाहिए
निजी में सामान्यतः फ़ाइल और प्रिंटर साझाकरण, नेटवर्क खोज और दूरस्थ प्रशासन के समूह आते हैं। यदि कार्य टनल से होकर SMB साझा या प्रिंटर तक पहुँचना है, तो श्रेणी बदलने का यही वास्तविक कारण है। यदि कार्य एक वेब एप्लिकेशन तक आउटबाउंड पहुँच है, तो श्रेणी अप्रासंगिक है: आउटबाउंड नियम लिखें, सार्वजनिक रखें और वहीं रुकें।
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
तालिका को शुरुआती बिंदु की तरह पढ़ें, फिर जाँचें कि आपके बिल्ड पर कौन-से निजी नियम वास्तव में सक्षम हैं। कठोर की गई इमेज ने निजी प्रोफ़ाइल से फ़ाइल साझाकरण पूरी तरह हटा दिया हो सकता है, और उस स्थिति में नियम वापस जोड़ने तक श्रेणी बदलने से कुछ नहीं होता। वह जाँच एक कमांड लेती है और एक लंबी दोपहर बचाती है।
बाकी सब कुछ बढ़ाए बिना बदलाव करना
वाइल्डकार्ड नहीं, इंटरफ़ेस इंडेक्स को लक्षित करें, और सूची पहले और बाद में पढ़ें:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileसंग्रहीत प्रोफ़ाइल रजिस्ट्री में NetworkList कुंजी के अंतर्गत रहती हैं, जहाँ Category मान सार्वजनिक, निजी और डोमेन नेटवर्क को अलग करता है। इसे संपादित करना संभव है और गलती करना आसान: आपको एडाप्टर के वर्तमान हस्ताक्षर से मेल खाती प्रविष्टि बदलनी है, किसी पुराने पते द्वारा छोड़ी गई पुरानी प्रविष्टि नहीं। पुरानी प्रविष्टि संपादक में सही दिखती है और पुनः कनेक्शन पर कुछ नहीं करती।
आप जो भी करें, ऐसी स्क्रिप्ट जारी न करें जो हर अज्ञात एडाप्टर को निजी बनाती है। यह असुरक्षित वायरलेस पर खोज खोलने का एक-पंक्ति संस्करण है। यदि साझाकरण केवल टनल सबनेट के साथ चाहिए, तो प्रोफ़ाइल सार्वजनिक रखें और टनल के दूरस्थ पता-परास तक सीमित आवक नियम जोड़ें; फ़ायरवॉल नियम श्रेणी से संकीर्ण है।
लेबल नहीं, साझा संसाधन जाँचें
बदलाव के बाद लेबल पर भरोसा करने के बजाय संसाधन की ही परीक्षा करें:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleयदि एडाप्टर निजी दिखाते हुए भी साझा संसाधन विफल रहें, तो श्रेणी अब आपकी समस्या नहीं है। नाम-समाधान, छूटा हुआ रूट या साझाकरण अनुमतियाँ वही लक्षण पैदा करेंगी, और प्रोफ़ाइल फिर से बदलना उनमें से किसी को ठीक नहीं कर सकता। एक बार पुनः कनेक्ट करें और सेटिंग टिकी है यह पुष्ट करने के लिए Get-NetConnectionProfile फिर चलाएँ, फिर शेष विफलता को सामान्य SMB समस्या की तरह हल करें।
जाँच-सूची: पुष्टि करें कि टनल प्रबंधित पथ है, प्रोफ़ाइल पुनः कनेक्शन में टिकती है, आवश्यक निजी नियम इमेज पर मौजूद हैं और साझा संसाधन हल होकर पोर्ट 445 पर उत्तर देते हैं। यदि पहले तीन में से कोई भी असत्य है, तो एडाप्टर सार्वजनिक रहने दें और सीमित नियम से पहुँच समस्या हल करें।