Privát vagy nyilvános legyen a Windows VPN-adapter?
Három vizsgával döntse el, hogy egy Windows VPN-adapter a privát profilba tartozik-e: megbízható útvonal, stabil besorolás és a valóban szükséges szabályok.
Egy Windows VPN-adaptert Privátra állítani helyes egy vállalati alagútnál és helytelen egy kereskedelmi VPN-kliensnél, és a különbség nem kozmetikai. A hálózati kategória tűzfalprofilt választ, így egyetlen változtatás egyszerre egy egész szabálykészletet enged át. Láttam olyan bejelentkezési parancsfájlt, amely minden azonosítatlan adaptert Privátra állított, ami csendben nyilvánossá tette a fájlmegosztást egy szállodai vezeték nélküli hálózaton. Három feltétel dönti el a választ, és mindegyiknek teljesülnie kell, mielőtt a beállításhoz nyúl.
Mit dönt el valójában a kategória
A Network Location Awareness minden csatlakoztatott hálózathoz aláírást épít abból, amit az adapter jelenteni tud: az átjáró címét és MAC-jét, a DNS-utótagot, hogy válaszol-e tartományvezérlő, és hogy a hálózat eléri-e az internetet. A Windows profilt rendel az aláíráshoz, majd a tűzfal az adott profil szabálykészletét alkalmazza. A Nyilvános a tartalék, ha az azonosítás nem sikerül, ezért egy működő alagút továbbra is azonosítatlan hálózatként címkézett maradhat.
A TUN vagy TAP adapter általában nagyon kevés információt ad az azonosításnak. Az alagút partnere gyakran egyetlen cím átjáró helyett, a DNS talán csak az alagúton belül kerül továbbításra, és az adapternek nincs saját alapértelmezett útvonala. Az így kapott címke a tűzfal bemenetét írja le, nem az alagút állapotát, és ezért szűnnek meg a privát profil szabályai egyezni abban a pillanatban, amikor a VPN csatlakozik.
Első feltétel: az alagút a megbízható útvonal
A Privát választása azt állítja, hogy minden, ami ezen a felületen elérhető, legalább olyan megbízható, mint a saját LAN-ja, mert a felderítés és a bejövő szabályok ezt az alhálózatot helyiként kezelik. Egy vállalati alagútnál felügyelt alhálózatba, fájlszerverekkel és nyomtatókkal, az állítás általában megáll. Az adapter kapu egy olyan hálózatba, amelyet a szervezete irányít, és a túloldali gép ugyanazon szabályzat révén kapott beengedést, amely az övét beengedte.
Egy kereskedelmi VPN-kijárat nem felel meg ennek a vizsgának. Más előfizetők osztoznak a kijárati alhálózaton, és annak Privátként jelölése a hálózatfelderítést, az LLMNR-t és a NetBIOS névfeloldást idegenekkel teli szegmensre teszi. Az osztott alagút is megbukhat: amikor az adapter egyetlen gazdagép-útvonalat visz egy alkalmazáshoz, nincs megbízható alhálózat, amiről beszélni lehetne, és a kategóriaváltás semmit nem ad.
Második feltétel: a besorolás túléli az újracsatlakozásokat
Egy új átjáró vagy DNS-utótag új aláírást hoz létre, és a Windows friss profil-döntést hoz rá. Egy egyszeri Set-NetConnectionProfile tehát a következő újracsatlakozásig tart, nem örökre. Az újracsatlakozás után ellenőrizze a profilt, ne az első kapcsolódás után, mert akkor áll vissza a beállítás magától.
Három mód van a tartóssá tételre. A legtisztább a házirend: nyissa meg a secpol.msc-t, lépjen a Network List Manager Policies elemre, és állítsa be a hálózat helytípusát, beleértve az azonosítatlan hálózatokra vonatkozó házirendet is, hogy a profil házirenddel, ne paranccsal legyen alkalmazva. A második egy kapcsolatonkénti parancsfájl vagy ütemezett feladat, amely az alagút felállása után futtatja a PowerShell-parancsmagot. A harmadik a régi útvonal-trükk, amely ellenőrizhető átjárót ad az azonosításnak:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileAz útvonal-trükk megkerülés, nem besorolás. Elromlik, ha a metrikaarány változik, vagy a VPN-kliens újracsatlakozáskor átírja az útvonalakat, és csendben megváltoztatja az útvonalválasztást mindennek, ami a második alapértelmezett útvonalra esik.
Harmadik feltétel: szüksége van a privát szabálykészletre
A Privát általában fájl- és nyomtatómegosztást, hálózatfelderítést és a távoli felügyelet csoportjait tartalmazza. Ha a feladat egy SMB-megosztás vagy nyomtató elérése az alagúton át, ez a valódi ok a kategória megváltoztatására. Ha a feladat kimenő hozzáférés egyetlen webalkalmazáshoz, a kategória lényegtelen: írja meg a kimenő szabályt, tartsa meg a Nyilvánost, és álljon meg ott.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Olvassa a táblázatot kiindulópontként, majd ellenőrizze, mely privát szabályok aktívak valójában a rendszerképén. Egy megerősített rendszerkép teljesen eltávolíthatta a fájlmegosztást a privát profilból, és akkor a kategóriaváltás semmit nem ér, amíg vissza nem teszi a szabályt. Ez az ellenőrzés egyetlen parancsba kerül, és megspórol egy hosszú délutánt.
A változtatás anélkül, hogy minden mást kiszélesítene
A felület indexét célozza, ne helyettesítő karaktert, és olvassa el a listát előtte és utána:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileA tárolt profilok a beállításjegyzék NetworkList kulcsa alatt élnek, ahol a Category érték elválasztja a nyilvános, a privát és a tartományi hálózatokat. Szerkesztése lehetséges és könnyű elrontani: azt a bejegyzést kell módosítania, amely az adapter jelenlegi aláírásának megfelel, nem egy régebbi bejegyzést, amelyet egy korábbi cím hagyott hátra. Az elavult bejegyzés helyesnek látszik a szerkesztőben, és semmit nem tesz újracsatlakozáskor.
Bármit tesz is, ne adjon ki olyan parancsfájlt, amely minden azonosítatlan adaptert Privátra állít. Ez a felderítés megnyitásának egysoros változata nem megbízható vezeték nélküli hálózaton. Ha csak az alagút alhálózatával kell megosztania, tartsa a profilt Nyilvánosnak, és adjon hozzá korlátozott bejövő szabályokat az alagút távoli címtartományára; a tűzfalszabály szűkebb, mint a kategória.
A megosztást ellenőrizze, ne a címkét
A változtatás után tesztelje magát az erőforrást, ahelyett hogy a címkében bízna:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleHa a megosztás továbbra is meghiúsul, miközben az adapter Privátot mutat, a kategória már nem az ön problémája. A névfeloldás, egy hiányzó útvonal vagy a megosztási engedélyek ugyanazt a tünetet okozzák, és egy újabb profilváltás egyiket sem tudja helyreállítani. Csatlakozzon újra egyszer, és futtassa újra a Get-NetConnectionProfile parancsot, hogy megerősítse a beállítás tartósságát, majd a fennmaradó hibát közönséges SMB-problémaként kezelje.
Ellenőrzőlista: erősítse meg, hogy az alagút felügyelt útvonal, hogy a profil túléli az újracsatlakozást, hogy a szükséges privát szabályok léteznek a rendszerképen, és hogy a megosztás feloldódik és válaszol a 445-es porton. Ha az első három közül bármelyik hamis, hagyja az adaptert Nyilvánoson, és oldja meg a hozzáférési problémát egy korlátozott szabállyal.