Պե՞տք է արդյոք Windows-ի VPN ադապտերը լինի մասնավոր, թե հանրային։
Երեք ստուգումներով որոշեք՝ Windows-ի VPN ադապտերը պատկանում է մասնավոր պրոֆիլին, թե ոչ՝ վստահելի ուղի, կայուն դասակարգում և կանոններ, որոնք իրոք պետք են ձեզ։
Windows-ի VPN ադապտերը «Մասնավոր» դնելը ճիշտ է կորպորատիվ թունելի համար և սխալ՝ առևտրային VPN հաճախորդի համար, և տարբերությունն արտաքին չէ։ Ցանցի կատեգորիան ընտրում է firewall-ի պրոֆիլ, ուստի մեկ փոփոխությունը միանգամից թույլ է տալիս կանոնների մի ամբողջ հավաքածու։ Ես տեսել եմ մուտքի սկրիպտ, որը յուրաքանչյուր չճանաչված ադապտեր դարձնում էր Մասնավոր, ինչը լուռ բացահայտեց ֆայլերի համօգտագործումը հյուրանոցի անլար ցանցում։ Երեք պայման որոշում են պատասխանը, և բոլորը պետք է ճիշտ լինեն, նախքան կարգավորումը կպնելը։
Ինչ է իրականում որոշում կատեգորիան
Network Location Awareness-ը յուրաքանչյուր միացված ցանցի համար ստորագրություն է կառուցում այն ամենից, ինչ ադապտերը կարող է հաղորդել՝ դարպասի հասցեն և MAC-ը, DNS-ի վերջածանցը, արդյոք տիրույթի կարգավորիչը պատասխանում է, և արդյոք ցանցը հասնում է ինտերնետ։ Windows-ը պրոֆիլ է կապում այդ ստորագրությանը, և այնուհետև firewall-ը կիրառում է այդ պրոֆիլի կանոնների հավաքածուն։ «Հանրայինը» պահուստային տարբերակն է, երբ ճանաչումը ձախողվում է, այդ պատճառով աշխատող թունելը կարող է դեռ պիտակավորված մնալ որպես չճանաչված ցանց։
TUN կամ TAP ադապտերը սովորաբար շատ քիչ տեղեկություն է տալիս ճանաչմանը։ Թունելի զուգընկերը հաճախ մեկ հասցե է, ոչ թե դարպաս, DNS-ը կարող է ուղարկվել միայն թունելի ներսում, և ադապտերը չունի իր սեփական լռելյայն երթուղին։ Ստացված պիտակը նկարագրում է firewall-ի մուտքը, ոչ թե թունելի վիճակը, և դա է պատճառը, որ մասնավոր պրոֆիլի կանոնները դադարում են համապատասխանել VPN-ի միանալու պահին։
Առաջին պայման՝ թունելը վստահելի ուղին է
«Մասնավոր» ընտրելը պնդում է, որ այս ինտերֆեյսով հասանելի ամեն ինչ առնվազն նույնքան վստահելի է, որքան ձեր սեփական LAN-ը, քանի որ հայտնաբերումը և մուտքային կանոնները այդ ենթացանցը կհամարեն տեղական։ Կառավարվող ենթացանցով կորպորատիվ թունելի համար, որտեղ կան ֆայլային սերվերներ և տպիչներ, պնդումը սովորաբար ճիշտ է։ Ադապտերը դուռ է դեպի ցանց, որը վերահսկում է ձեր կազմակերպությունը, և մյուս կողմի մեքենան ընդունվել է նույն քաղաքականությամբ, որն ընդունել է ձերինը։
Առևտրային VPN-ի ելքը չի անցնում այս ստուգումը։ Այլ բաժանորդներ կիսում են ելքի ենթացանցը, և այն Մասնավոր նշելը ցանցի հայտնաբերումը, LLMNR-ը և NetBIOS անվանաճանաչումը դնում է անծանոթներով լի հատվածի վրա։ Բաժանված թունելը նույնպես կարող է ձախողվել՝ երբ ադապտերը կրում է մեկ հոսթի երթուղի դեպի մեկ հավելված, վստահելի ենթացանց գոյություն չունի, և կատեգորիայի փոփոխությունը ձեզ ոչինչ չի տալիս։
Երկրորդ պայման՝ դասակարգումը դիմանում է վերամիացումներին
Նոր դարպասը կամ DNS-ի նոր վերջածանցը ստեղծում է նոր ստորագրություն, և Windows-ը դրա համար նոր պրոֆիլի որոշում է կայացնում։ Ուստի միանվագ Set-NetConnectionProfile-ը տևում է մինչև հաջորդ վերամիացումը, ոչ հավերժ։ Ստուգեք պրոֆիլը վերամիացումից հետո, ոչ առաջին միացումից հետո, քանի որ հենց այդ ժամանակ է կարգավորումն ինքնըստինքյան վերադառնում։
Այն մշտական դարձնելու երեք եղանակ կա։ Ամենամաքուրը քաղաքականությունն է՝ բացեք secpol.msc, անցեք Network List Manager Policies և սահմանեք ցանցի տեղակայման տեսակը, ներառյալ չճանաչված ցանցերի քաղաքականությունը, որպեսզի պրոֆիլը կիրառվի քաղաքականությամբ, ոչ թե հրամանով։ Երկրորդը յուրաքանչյուր միացման համար սկրիպտն է կամ պլանավորված առաջադրանքը, որն աշխատացնում է PowerShell cmdlet-ը թունելի բարձրանալուց հետո։ Երրորդը հին երթուղու հնարքն է, որը ճանաչմանը տալիս է ստուգելու դարպաս:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileԵրթուղու հնարքը շրջանցում է, ոչ դասակարգում։ Այն կոտրվում է, երբ փոխվում է մետրիկայի հարաբերակցությունը կամ VPN հաճախորդը վերամիացման ժամանակ վերագրում է երթուղիները, և լուռ փոխում է ուղու ընտրությունը ամեն ինչի համար, ինչ ընկնում է երկրորդ լռելյայն երթուղու վրա։
Երրորդ պայման՝ ձեզ պետք է մասնավոր կանոնների հավաքածուն
«Մասնավորը» սովորաբար կրում է ֆայլերի և տպիչների համօգտագործում, ցանցի հայտնաբերում և հեռահար կառավարման խմբերը։ Եթե առաջադրանքը թունելով SMB համօգտագործման կամ տպիչի հասնելն է, դա է կատեգորիան փոխելու իրական պատճառը։ Եթե առաջադրանքը մեկ վեբ հավելվածին ելքային հասանելիությունն է, կատեգորիան անտեղի է՝ գրեք ելքային կանոնը, պահեք «Հանրային» և կանգ առեք այնտեղ։
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Կարդացեք աղյուսակը որպես ելակետ, ապա ստուգեք, թե որ մասնավոր կանոններն են իրականում միացված ձեր պատկերում։ Կարծրացված պատկերը կարող է ամբողջությամբ հեռացրել ֆայլերի համօգտագործումը մասնավոր պրոֆիլից, և այդ դեպքում կատեգորիայի փոփոխությունը ոչինչ չի տա, մինչև կանոնը հետ չդնեք։ Այդ ստուգումը մեկ հրաման արժե և խնայում է երկար կեսօր։
Փոփոխությունը կատարել առանց մնացած ամեն ինչը լայնացնելու
Թիրախավորեք ինտերֆեյսի ինդեքսը, ոչ թե ձևանշանը, և կարդացեք ցանկը առաջ և հետո:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileՊահված պրոֆիլները ապրում են ռեեստրի NetworkList բանալու տակ, որտեղ Category արժեքը բաժանում է հանրային, մասնավոր և տիրույթային ցանցերը։ Այն խմբագրելը հնարավոր է և հեշտ է սխալվել՝ պետք է փոխեք այն գրառումը, որը համապատասխանում է ադապտերի ընթացիկ ստորագրությանը, ոչ թե ավելի հին գրառում, որը թողել է նախորդ հասցեն։ Հնացած գրառումը խմբագրիչում ճիշտ է երևում և ոչինչ չի անում վերամիացման ժամանակ։
Ինչ էլ անեք, մի տարածեք սկրիպտ, որը յուրաքանչյուր չճանաչված ադապտեր դարձնում է Մասնավոր։ Սա անվստահելի անլար ցանցում հայտնաբերումը բացելու մեկտողանոց տարբերակն է։ Եթե համօգտագործումը պետք է միայն թունելի ենթացանցի հետ, պահեք «Հանրային» պրոֆիլը և ավելացրեք սահմանափակ մուտքային կանոններ թունելի հեռավոր հասցեների տիրույթի համար՝ firewall-ի կանոնը ավելի նեղ է, քան կատեգորիան։
Ստուգեք համօգտագործումը, ոչ պիտակը
Փոփոխությունից հետո փորձարկեք ռեսուրսն ինքնին, փոխարենը վստահելու պիտակին:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleԵթե համօգտագործումը դեռ ձախողվում է, մինչ ադապտերը ցույց է տալիս «Մասնավոր», կատեգորիան այլևս ձեր խնդիրը չէ։ Անվանաճանաչումը, բացակայող երթուղին կամ համօգտագործման թույլտվությունները կստեղծեն նույն ախտանիշը, և պրոֆիլի ևս մեկ փոփոխությունը չի կարող վերականգնել դրանցից ոչ մեկը։ Միացեք նորից մեկ անգամ և նորից գործարկեք Get-NetConnectionProfile-ը՝ հաստատելու, որ կարգավորումը պահպանվել է, ապա մնացած ձախողումը լուծեք որպես սովորական SMB խնդիր։
Ստուգաթերթ՝ հաստատեք, որ թունելը կառավարվող ուղի է, պրոֆիլը դիմանում է վերամիացմանը, անհրաժեշտ մասնավոր կանոնները գոյություն ունեն պատկերում, և համօգտագործումը լուծվում է ու պատասխանում 445 պորտին։ Եթե առաջին երեքից որևէ մեկը կեղծ է, թողեք ադապտերը «Հանրային» և լուծեք հասանելիության խնդիրը սահմանափակ կանոնով։