Treba li Windows VPN adapter biti privatan ili javan?

Postavljanje Windows VPN adaptera na Privatno ispravno je za korporativni tunel, a pogrešno za klijent komercijalnog VPN-a, i razlika nije kozmetička. Kategorija mreže bira profil vatrozida, pa jedna promjena odjednom propušta cijeli skup pravila. Vidio sam skriptu za prijavu koja svaki neidentificirani adapter postavlja na Privatno, što je tiho izložilo dijeljenje datoteka na hotelskoj bežičnoj mreži. Odgovor određuju tri uslova i svi moraju vrijediti prije nego što dirnete postavku.

Šta kategorija zapravo određuje

Network Location Awareness gradi potpis za svaku povezanu mrežu od onoga što adapter može prijaviti: adresu pristupnika i MAC, DNS sufiks, odgovara li kontroler domene i doseže li mreža internet. Windows na taj potpis veže profil, a vatrozid zatim primjenjuje skup pravila za taj profil. Javno je rezervna opcija kad identifikacija ne uspije, zbog čega radni tunel i dalje može biti označen kao neidentificirana mreža.

TUN ili TAP adapter obično daje identifikaciji vrlo malo podataka. Partner u tunelu često je jedna adresa, a ne pristupnik, DNS se može slati samo unutar tunela, a adapter nema vlastitu zadanu rutu. Dobivena oznaka opisuje ulaz vatrozida, a ne zdravlje tunela, i zato pravila privatnog profila prestaju odgovarati u trenutku kad se VPN poveže.

Uslov prvi: tunel je pouzdana putanja

Odabir Privatno tvrdi da je sve dostupno kroz ovo sučelje barem jednako pouzdano kao vaš vlastiti LAN, jer će otkrivanje i dolazna pravila taj podsplet tretirati kao lokalni. Za korporativni tunel u upravljani podsplet s datotečnim serverima i pisačima ta tvrdnja obično vrijedi. Adapter su vrata u mrežu koju kontroliše vaša organizacija, a mašina s druge strane primljena je istom politikom koja je primila vašu.

Izlaz komercijalnog VPN-a ne prolazi ovu provjeru. Drugi pretplatnici dijele izlazni podsplet, a označavanje istog kao Privatno stavlja otkrivanje mreže, LLMNR i razrješavanje NetBIOS imena na segment pun stranaca. Podijeljeni tunel također može pasti: kad adapter nosi jednu rutu do računara za jednu aplikaciju, nema pouzdanog podspleta o kojem bi se govorilo, a promjena kategorije vam ništa ne donosi.

Uslov drugi: klasifikacija preživi ponovna povezivanja

Novi pristupnik ili DNS sufiks stvara novi potpis i Windows za njega donosi novu odluku o profilu. Jednokratni Set-NetConnectionProfile zato traje do sljedećeg ponovnog povezivanja, ne zauvijek. Provjerite profil nakon ponovnog, a ne nakon prvog povezivanja, jer se tada postavka sama vraća.

Tri su načina da to ostane trajno. Najčišći je politika: otvorite secpol.msc, idite u Network List Manager Policies i postavite tip lokacije za mrežu, uključujući politiku za neidentificiranu mrežu, tako da se profil primjenjuje politikom, a ne naredbom. Drugi je skripta po vezi ili zakazani zadatak koji pokreće PowerShell cmdlet nakon dizanja tunela. Treći je stari trik s rutom, koji identifikaciji daje pristupnik za provjeru:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Trik s rutom je zaobilazno rješenje, a ne klasifikacija. Puca kad se promijeni odnos metrika ili VPN klijent prepiše rute pri ponovnom povezivanju, i tiho mijenja odabir putanje za sve što padne na drugu zadanu rutu.

Uslov treći: treba vam skup privatnih pravila

Privatno obično nosi dijeljenje datoteka i pisača, otkrivanje mreže i grupe za daljinsku administraciju. Ako je zadatak doći do SMB dijeljenja ili pisača kroz tunel, to je pravi razlog za promjenu kategorije. Ako je zadatak odlazni pristup jednoj web aplikaciji, kategorija je nebitna: napišite odlazno pravilo, ostavite Javno i stanite tu.

Čitajte tabelu kao polaznu točku, pa provjerite koja su privatna pravila stvarno uključena u vašoj slici. Očvrsnuta slika možda je potpuno uklonila dijeljenje datoteka iz privatnog profila, i tada promjena kategorije ne postiže ništa dok ne vratite pravilo. Ta provjera traje jednu naredbu i štedi dugo poslijepodne.

Promjena bez širenja svega ostalog

Ciljajte indeks sučelja, ne džoker znak, i pročitajte listu prije i poslije:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Pohranjeni profili žive pod ključem NetworkList u registru, gdje vrijednost Category razdvaja javne, privatne i domenske mreže. Uređivanje je moguće i lako pogrešno: morate promijeniti unos koji odgovara trenutnom potpisu adaptera, a ne stariji unos koji je ostavila prethodna adresa. Zastario unos izgleda ispravno u uređivaču i ne radi ništa pri ponovnom povezivanju.

Šta god radili, ne isporučujte skriptu koja svaki neidentificirani adapter postavlja na Privatno. To je jednolinijska verzija otvaranja otkrivanja na nepouzdanoj bežičnoj mreži. Ako dijeljenje trebate samo s podspletom tunela, ostavite profil Javno i dodajte ograničena dolazna pravila za raspon udaljenih adresa tunela; pravilo vatrozida uže je od kategorije.

Provjerite dijeljenje, ne oznaku

Nakon promjene testirajte sam resurs umjesto da vjerujete oznaci:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Ako dijeljenje i dalje ne radi dok adapter pokazuje Privatno, kategorija više nije vaš problem. Razrješavanje imena, ruta koja nedostaje ili dozvole dijeljenja dat će isti simptom i ponovna promjena profila ne može popraviti nijedan od njih. Povežite se jednom iznova i ponovo pokrenite Get-NetConnectionProfile da potvrdite da je postavka ostala, pa preostali kvar rješavajte kao običan SMB problem.

Kontrolna lista: potvrdite da je tunel upravljana putanja, da profil preživi ponovljeno povezivanje, da potrebna privatna pravila postoje u slici i da se dijeljenje razrješava te odgovara na portu 445. Ako je bilo šta od prvo tri netačno, ostavite adapter na Javno i riješite problem pristupa ograničenim pravilom.