VPN अडैप्टर हमेशा वर्क प्रोफ़ाइल में क्यों पहुँच जाता है
Windows फ़ायरवॉल प्रोफ़ाइल को VPN अडैप्टर पर एक कमज़ोर हस्ताक्षर से बाँधता है। नीति से स्थान तय कीजिए, फिर जाँचिए कि कौन-सी प्रोफ़ाइल वास्तव में लागू है।
कॉर्पोरेट टनल जोड़िए और लैपटॉप चुपचाप अपना स्वभाव बदल लेता है। फ़ाइल साझेदारी रुक जाती है, नाम से ब्राउज़िंग विफल होती है, कोई ऐप्लिकेशन जो पहले सुन रहा था अब नहीं सुनता, और सेटिंग्स कनेक्शन को कार्य या अपरिचित के रूप में दिखाती हैं। इस वर्गीकरण को तय करने के तीन तरीक़े हैं, और उनके बीच चुनाव इस पर निर्भर करता है कि डिवाइस प्रबंधित है या नहीं, लेबल बार-बार लौटता है या नहीं, और क्या उस अडैप्टर पर किसी चीज़ को वास्तव में खोज की ज़रूरत है।
लेबल वास्तव में क्या नियंत्रित करता है
Windows हर नेटवर्क को एक श्रेणी में रखता है और उसी से फ़ायरवॉल प्रोफ़ाइल चुनता है। सार्वजनिक प्रोफ़ाइल आने वाली साझेदारी, खोज और फ़ाइल तथा प्रिंटर पोर्टों को आपके जोड़े किसी भी नियम पर विचार होने से पहले अस्वीकार कर देती है, जबकि निजी अधिक अनुमति देती है। सेवा उजागर करने से पहले श्रेणी जाँचने वाले ऐप्लिकेशन वही मान देखते हैं।
यह नीति का चुनाव है, रूटिंग का निर्णय नहीं। कोई पता पूरी तरह पहुँच योग्य हो सकता है और फिर भी अस्वीकार हो सकता है क्योंकि लागू प्रोफ़ाइल में मेल खाता नियम नहीं है, और मार्गों की कोई मरम्मत इसे नहीं बदलेगी। दो अलग प्रश्न, दो अलग औज़ार। इन्हें मिलाना ही सबसे आम वजह है कि कोई सुधार काम करता दिखता है और फिर रुक जाता है।
श्रेणी हर नेटवर्क के लिए संग्रहीत होती है, और नेटवर्क हस्ताक्षर से पहचाना जाता है। साधारण लोकल नेटवर्क में वह हस्ताक्षर डिफ़ॉल्ट गेटवे का हार्डवेयर पता और कनेक्शन का DNS प्रत्यय शामिल करता है, और VPN अडैप्टर में आम तौर पर दोनों नहीं होते। कमज़ोर हस्ताक्षर का अर्थ है कि वही टनल क्लाइंट अद्यतन के बाद नया नेटवर्क दिख सकती है।
इसीलिए लेबल अपने आप बदलता दिखता है। Windows मनमौजी नहीं है; वह टनल को उस नेटवर्क के रूप में पहचानने में विफल है जिसे उसने पिछले हफ़्ते वर्गीकृत किया था।
तीन शर्तें जो दृष्टिकोण तय करती हैं
पहली शर्त स्वामित्व है। प्रबंधित लैपटॉप पर सेटिंग अक्सर तालाबंद होती है, और स्थानीय बदलाव अगली नीति ताज़ा होने पर अधिलेखित हो जाएगा। उससे लड़ना एक दोपहर बर्बाद करना है; नीति ही समर्थित माध्यम है और एकमात्र है जो टिकता है।
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
दूसरी शर्त पुनरावृत्ति है। अगर लेबल एक से अधिक बार लौटा है, तो प्रति-नेटवर्क मान बदले हुए हस्ताक्षर से फिर से बनाया जा रहा है, और दोबारा संपादन टिकेगा नहीं। नीति के मान अलग शाखा में रहते हैं जो प्रति-उपयोगकर्ता मानों पर भारी पड़ती है जिन्हें Windows हर बार अडैप्टर के दोबारा जुड़ने पर फिर से बनाता है।
तीसरी शर्त ज़रूरत है। कुछ वातावरणों को वास्तव में टनल के पार नाम-समाधान और खोज चाहिए, और वे पूरे अडैप्टर को निजी में ले जाने के बजाय विशिष्ट पतों के लिए संकीर्ण फ़ायरवॉल नियम चाहते हैं। एक सेवा चलाने के लिए श्रेणी बदलना वह रास्ता है जिससे टनल अंततः इरादे से अधिक उजागर कर देती है।
तीनों शर्तों का उत्तर दीजिए और चुनाव स्वयं स्पष्ट हो जाएगा। दो जो नीति की ओर इशारा करें उनका अर्थ नीति है, और एक जो एकबारगी परीक्षण की ओर इशारा करे उसका अर्थ वह स्थानीय बदलाव है जिसे आप हटाना चाहते हैं।
उसे तय कीजिए, फिर पढ़िए कौन-सी प्रोफ़ाइल लागू है
स्थानीय सुरक्षा नीति सेटिंग को नेटवर्क सूची की नीतियों के अंतर्गत दिखाती है। secpol.msc खोलिए, उस नोड का विस्तार कीजिए, टनल के नेटवर्क की प्रविष्टि खोलिए, स्थान का प्रकार सार्वजनिक कीजिए और उपयोगकर्ता अनुमति ऐसी कीजिए कि स्थान बदला न जा सके। वे सेटिंग्स उसी वृक्ष की नीतियाँ शाखा में जाती हैं, इसीलिए वे प्रति-उपयोगकर्ता मानों पर भारी पड़ती हैं जिन्हें दोबारा जुड़ना फिर से लिखता है।
VPN अडैप्टर के लिए सार्वजनिक आम तौर पर सही है, क्योंकि यह डिफ़ॉल्ट रूप से आने वाली साझेदारी और खोज अवरुद्ध करता है। यह ऐसी टनल के लिए सतर्क विकल्प है जो अविश्वसनीय खंड में उतर सकती है, और बाद में श्रेणी बदलने के बजाय विशिष्ट नियमों से इसे ढीला किया जा सकता है। एक सेवा ठीक करने के लिए श्रेणी का विस्तार ऐसा सौदा है जिसे आसानी से उलटा नहीं जा सकता। नियम सेकंडों में हट जाता है।
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabledपहला कमांड लागू श्रेणी बताता है, संवाद में दिखने वाली नहीं, और यही मान फ़ायरवॉल का व्यवहार तय करता है। दूसरा पुष्टि करता है कि लागू हो रही प्रोफ़ाइल सक्रिय है और आप वास्तव में किस पर भरोसा कर रहे हैं।
ध्यान दीजिए यह जोड़ी क्या साबित नहीं करती। कोई भी कमांड यह नहीं दिखाती कि कोई विशिष्ट आने वाला नियम मौजूद है, इसलिए ऐसी सेवा जो अब भी उत्तर नहीं देती उसे नियमों की जाँच चाहिए, श्रेणी का एक और बदलाव नहीं।
जब लक्षण श्रेणी न हो
नेटवर्क संकेतक कनेक्शन से पीछे रह सकता है, और Windows के पुराने संस्करणों में एक प्रलेखित दोष था जिसमें बाध्य टनल वाला VPN सीमित दिखता था जबकि ट्रैफ़िक बह रहा था और पैकेज किए गए ऐप्लिकेशन उसका उपयोग करने से इनकार करते थे। संकेतक ग़लत था; टनल काम कर रही थी।
इसलिए वह जाँचिए जो उपयोगकर्ता के लिए वास्तव में मायने रखता है, आइकन नहीं। सेवा तक पते से पहुँचिए, फिर नाम से, फिर ऐप्लिकेशन के माध्यम से। हर चरण रूटिंग, समाधान और ऐप्लिकेशन नीति को अलग करता है, और श्रेणी केवल फ़ायरवॉल चरण में आती है।
अगर श्रेणी सही है और सेवा फिर भी विफल हो, तो नियमों का दायरा जाँचिए। निजी प्रोफ़ाइल के लिए लिखा नियम उसी क्षण मेल खाना बंद कर देता है जब अडैप्टर सार्वजनिक होता है, और यह उस नियम से अलग ख़राबी है जो कभी बनाया ही नहीं गया।
इरादे की श्रेणी, यह कि वह नीति से लागू है या नहीं, और वे पते जिन्हें अपवाद चाहिए, दर्ज कीजिए। वह टिप्पणी गायब होती साझेदारियों की अगली रिपोर्ट का उत्तर प्रोफ़ाइलों और दायरों के तथ्य से देगी, टनल के बारे में एक और सिद्धांत से नहीं।
निर्णय छोटा है और परिणाम नहीं। श्रेणी फ़ायरवॉल का चयनकर्ता है, और उसे महज़ सजावट मानना वह रास्ता है जिससे काम करती सेवा एक पहेली बन जाती है।