Zašto VPN adapter uvijek završi u radnom profilu

Povežite korporativni tunel i prijenosno računalo tiho mijenja karakter. Dijeljenje datoteka staje, pretraživanje po nazivu ne uspijeva, aplikacija koja je prije slušala prestaje slušati, a Postavke prikazuju vezu kao Radna ili Neidentificirana. Postoje tri načina da se ta klasifikacija prikvači, a izbor među njima ovisi o tome je li uređaj pod upravljanjem, vraća li se oznaka i dalje i treba li što na tom adapteru doista otkrivanje.

Što oznaka zapravo kontrolira

Windows svaku mrežu razvrstava u kategoriju i iz nje odabire profil vatrozida. Javni profil odbija dolazno dijeljenje, otkrivanje te priključke za datoteke i pisače prije nego što se uopće razmotri ijedno pravilo koje dodate, dok Privatni dopušta više. Aplikacije koje provjere kategoriju prije izlaganja usluge vide istu vrijednost.

Ovo je odabir pravilnika, a ne odluka o usmjeravanju. Adresa može biti potpuno dostupna i ipak odbijena jer važeći profil ne sadrži odgovarajuće pravilo, i nikakav popravak ruta to ne mijenja. Dva različita pitanja, dva različita alata. Njihovo miješanje najčešći je razlog zašto ispravak izgleda da radi, a zatim prestane.

Kategorija se pohranjuje po mreži, a mreža se prepoznaje po potpisu. Na običnoj lokalnoj mreži taj potpis uključuje hardversku adresu zadanog pristupnika i DNS sufiks veze, a VPN adapter obično nema nijedno. Slab potpis znači da isti tunel može izgledati kao nova mreža nakon nadogradnje klijenta.

Zato se čini da se oznaka mijenja sama. Windows nije hirovit; samo ne prepoznaje tunel kao mrežu koju je razvrstao prošlog tjedna.

Tri uvjeta koji odlučuju o pristupu

Prvi je uvjet vlasništvo. Na upravljanom prijenosnom računalu postavka je često zaključana, a lokalna promjena bit će prebrisana pri sljedećem osvježavanju pravilnika. Borba protiv toga stoji jedno poslijepodne; pravilnik je podržani kanal i jedini koji se održi.

Drugi je uvjet ponavljanje. Ako se oznaka vratila više puta, vrijednost po mreži obnavlja se iz potpisa koji se promijenio, i ponovno uređivanje neće potrajati. Vrijednosti pravilnika žive u zasebnoj grani koja nadjačava korisničke vrijednosti koje Windows obnavlja svaki put kad se adapter ponovno poveže.

Treći je uvjet potreba. Neka okruženja doista zahtijevaju razrješavanje naziva i otkrivanje kroz tunel, i takva žele uska pravila vatrozida za određene adrese umjesto cijelog adaptera premještenog u Privatno. Prebacivanje kategorije da bi jedna usluga proradila način je na koji tunel na kraju izloži više nego što je namjeravano.

Odgovorite na tri uvjeta i izbor se donosi sam. Dva koja upućuju na pravilnik znače pravilnik, a jedan koji upućuje na jednokratni test znači lokalnu promjenu koju namjeravate odbaciti.

Prikvačite to, a zatim pročitajte koji profil vrijedi

Lokalni sigurnosni pravilnik prikazuje postavku u odjeljku Pravilnici za popis mreža. Otvorite secpol.msc, proširite taj čvor, otvorite unos za mrežu tunela, postavite vrstu lokacije na Javno i postavite korisničko dopuštenje tako da se lokacija ne može promijeniti. Te postavke završavaju u grani Pravilnici istog stabla, zato nadjačavaju korisničke vrijednosti koje ponovno povezivanje prebriše.

Javno je obično ispravno za VPN adapter jer prema zadanim postavkama blokira dolazno dijeljenje i otkrivanje. To je oprezan odabir za tunel koji može završiti na nepouzdanom segmentu, i kasnije se može ublažiti posebnim pravilima umjesto promjenom kategorije. Proširenje kategorije da bi se popravila jedna usluga zamjena je koju nije lako poništiti. Pravilo se uklanja u sekundama.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Prva naredba izvješćuje o važećoj kategoriji, a ne o onoj u dijalogu, i upravo ta vrijednost određuje ponašanje vatrozida. Druga potvrđuje da je primijenjeni profil omogućen i na koji se doista oslanjate.

Obratite pozornost na to što par ne dokazuje. Nijedna naredba ne pokazuje postoji li određeno dolazno pravilo, pa usluga koja još ne odgovara treba provjeru pravila, a ne još jednu promjenu kategorije.

Kada simptom nije kategorija

Mrežni pokazivač može zaostajati za vezom, a starije verzije Windowsa imale su dokumentiranu grešku u kojoj se prisilni tunelski VPN prikazivao kao Ograničen dok je promet tekao, a pakirane aplikacije odbijale su ga koristiti. Pokazivač je bio u krivu; tunel je radio.

Stoga testirajte ono do čega je korisniku doista stalo, a ne ikonu. Dođite do usluge po adresi, zatim po nazivu, a zatim kroz aplikaciju. Svaki korak razdvaja usmjeravanje, razrješavanje i pravilnik aplikacija, a kategorija ulazi tek na koraku vatrozida.

Ako je kategorija ispravna, a usluga i dalje ne uspijeva, provjerite opseg pravila. Pravilo napisano za profil Privatni prestaje odgovarati u trenutku kad je adapter Javan, i to je druga kvar od pravila koje nikada nije stvoreno.

Zabilježite namjeravanu kategoriju, je li nametnuta pravilnikom i adrese koje trebaju iznimke. Ta bilješka odgovara na sljedeću prijavu o dijeljenjima koja nestaju činjenicom o profilima i opsezima, a ne novom teorijom o tunelu.

Odluka je mala, a posljedice nisu. Kategorija je birač vatrozida, i tretirati je kao kozmetiku način je na koji radna usluga postaje zagonetka.