Ինչու VPN ադապտերը մշտապես հայտնվում է աշխատանքային պրոֆիլում
Windows-ը firewall-ի պրոֆիլը կապում է VPN ադապտերի թույլ ստորագրության հետ։ Ամրապնդեք տեղադրությունը քաղաքականությամբ, ապա ստուգեք, թե որ պրոֆիլն է իրականում գործում։
Միացրեք կորպորատիվ թունելը, և նոթբուքը հանգիստ փոխում է բնավորությունը։ Ֆայլերի համօգտագործումը դադարում է, անունով զննումը ձախողվում է, մի հավելված, որը նախկինում լսում էր, այլևս չի լսում, և Կարգավորումները ցույց են տալիս կապը որպես աշխատանքային կամ չնույնականացված։ Այդ դասակարգումն ամրապնդելու երեք եղանակ կա, և դրանց միջև ընտրությունը կախված է նրանից, թե արդյոք սարքը կառավարվում է, արդյոք պիտակը շարունակաբար վերադառնում է և արդյոք այդ ադապտերի վրա ինչ-որ բան իսկապես հայտնաբերում է պահանջում։
Ինչն է իրականում կառավարում պիտակը
Windows-ը յուրաքանչյուր ցանց խմբավորում է կատեգորիայի մեջ և դրանից ընտրում firewall-ի պրոֆիլ։ Հանրային պրոֆիլը մերժում է մուտքային համօգտագործումը, հայտնաբերումը և ֆայլերի ու տպիչների պորտերը նախքան ձեր ավելացրած որևէ կանոն դիտարկելը, մինչդեռ Մասնավորը թույլ է տալիս ավելին։ Հավելվածները, որոնք ստուգում են կատեգորիան ծառայությունը բացելուց առաջ, տեսնում են նույն արժեքը։
Սա քաղաքականության ընտրություն է, ոչ թե երթուղավորման որոշում։ Հասցեն կարող է լիովին հասանելի լինել և այնուամենայնիվ մերժվել, քանի որ գործող պրոֆիլը չի պարունակում համապատասխան կանոն, և երթուղիների ոչ մի վերանորոգում դա չի փոխի։ Երկու տարբեր հարց, երկու տարբեր գործիք։ Դրանց խառնելը ամենահաճախ հանդիպող պատճառն է, թե ինչու լուծումը թվում է, թե աշխատում է, ապա դադարում։
Կատեգորիան պահվում է յուրաքանչյուր ցանցի համար, իսկ ցանցը նույնականացվում է ստորագրությամբ։ Սովորական տեղական ցանցում այդ ստորագրությունը ներառում է լռելյայն դարպասի ապարատային հասցեն և կապի DNS վերջածանցը, և VPN ադապտերին սովորաբար բացակայում են երկուսն էլ։ Թույլ ստորագրությունը նշանակում է, որ նույն թունելը կլիենտի թարմացումից հետո կարող է նոր ցանց թվալ։
Այդ պատճառով պիտակը թվում է, թե ինքնուրույն փոխվում է։ Windows-ը քմահաճ չէ. այն պարզապես չի ճանաչում թունելը որպես այն ցանցը, որը դասակարգել էր անցյալ շաբաթ։
Երեք պայման, որոնք որոշում են մոտեցումը
Առաջին պայմանը սեփականությունն է։ Կառավարվող նոթբուքում կարգավորումը հաճախ արգելափակված է, և տեղական փոփոխությունը կվերագրվի քաղաքականության հաջորդ թարմացման ժամանակ։ Դրա դեմ պայքարը արժե կես օր. քաղաքականությունը աջակցվող ուղին է և միակը, որ դիմանում է։
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
Երկրորդ պայմանը կրկնությունն է։ Եթե պիտակը վերադարձել է մեկից ավելի անգամ, ցանցի արժեքը վերակառուցվում է փոխված ստորագրությունից, և կրկին խմբագրելը չի դիմանա։ Քաղաքականության արժեքները ապրում են առանձին ճյուղում, որը գերազանցում է օգտվողական արժեքներին, որոնք Windows-ը վերակառուցում է ամեն անգամ, երբ ադապտերը նորից միանում է։
Երրորդ պայմանը կարիքն է։ Որոշ միջավայրեր իսկապես պահանջում են անունների լուծում և հայտնաբերում թունելի միջով, և դրանք ուզում են նեղ firewall կանոններ կոնկրետ հասցեների համար, այլ ոչ թե ամբողջ ադապտերի տեղափոխում Մասնավոր։ Կատեգորիան փոխելը, որպեսզի մեկ ծառայություն աշխատի, այն ուղին է, որով թունելը վերջում բացահայտում է ավելին, քան նախատեսված էր։
Պատասխանեք երեք պայմաններին, և ընտրությունը կկատարվի ինքնըստինքյան։ Երկուսը, որոնք մատնանշում են քաղաքականությունը, նշանակում են քաղաքականություն, իսկ մեկը, որ մատնանշում է մեկանգամյա փորձարկում, նշանակում է տեղական փոփոխություն, որը մտադիր եք մերժել։
Ամրապնդեք այն, ապա կարդացեք, թե որ պրոֆիլն է գործում
Տեղական անվտանգության քաղաքականությունը ցույց է տալիս կարգավորումը Ցանցերի ցանկի քաղաքականություններ բաժնում։ Բացեք secpol.msc, ընդարձակեք այդ հանգույցը, բացեք թունելի ցանցի գրառումը, տեղադրության տեսակը դարձրեք Հանրային և սահմանեք օգտվողի թույլտվությունն այնպես, որ տեղադրությունը հնարավոր չլինի փոխել։ Այդ կարգավորումները հայտնվում են նույն ծառի Քաղաքականություններ ճյուղում, դրա համար էլ գերազանցում են օգտվողական արժեքներին, որոնք վերագրվում են նորից միացման ժամանակ։
Հանրայինը սովորաբար ճիշտ է VPN ադապտերի համար, քանի որ լռելյայն արգելափակում է մուտքային համօգտագործումը և հայտնաբերումը։ Սա զգուշավոր ընտրություն է թունելի համար, որը կարող է հայտնվել անվստահելի հատվածում, և հետագայում այն կարելի է մեղմել կոնկրետ կանոններով՝ կատեգորիան փոխելու փոխարեն։ Կատեգորիայի ընդլայնումը մեկ ծառայություն վերանորոգելու համար փոխանակում է, որը հեշտ չէ հետարկել։ Կանոնը հեռացվում է վայրկյանների ընթացքում։
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, EnabledԱռաջին հրահանգը հաղորդում է գործող կատեգորիան, այլ ոչ թե երկխոսության մեջ եղածը, և հենց այդ արժեքն է որոշում firewall-ի վարքը։ Երկրորդը հաստատում է, որ կիրառվող պրոֆիլը միացված է և որի վրա եք իրականում հենվում։
Ուշադրություն դարձրեք, թե ինչ չի ապացուցում այս զույգը։ Հրահանգներից ոչ մեկը չի ցույց տալիս, թե արդյոք գոյություն ունի կոնկրետ մուտքային կանոն, ուստի ծառայությանը, որը դեռ չի պատասխանում, պետք է կանոնների ստուգում, այլ ոչ թե կատեգորիայի ևս մեկ փոփոխություն։
Երբ ախտանիշը կատեգորիան չէ
Ցանցի ցուցիչը կարող է հետ մնալ կապից, և Windows-ի հին տարբերակներում փաստագրված թերություն կար, երբ պարտադրված թունելային VPN-ը ցուցադրվում էր որպես Սահմանափակ, մինչ թրաֆիկը հոսում էր, և փաթեթավորված հավելվածները հրաժարվում էին այն օգտագործել։ Ցուցիչը սխալ էր. թունելը աշխատում էր։
Այնպես որ փորձարկեք այն, ինչ իսկապես կարևոր է օգտվողին, այլ ոչ թե պատկերակը։ Հասեք ծառայությանը հասցեով, ապա անունով, ապա հավելվածի միջով։ Յուրաքանչյուր քայլ առանձնացնում է երթուղավորումը, լուծումը և հավելվածների քաղաքականությունը, և կատեգորիան մտնում է միայն firewall-ի քայլում։
Եթե կատեգորիան ճիշտ է, բայց ծառայությունը դեռ ձախողվում է, ստուգեք կանոնների ընդգրկույթը։ Մասնավոր պրոֆիլի համար գրված կանոնը դադարում է համապատասխանել այն պահից, երբ ադապտերը Հանրային է, և դա այլ թերություն է, քան երբևէ չստեղծված կանոնը։
Գրանցեք նախատեսված կատեգորիան, արդյոք այն պարտադրվում է քաղաքականությամբ, և այն հասցեները, որոնք բացառությունների կարիք ունեն։ Այդ գրառումը կպատասխանի անհետացող համօգտագործումների մասին հաջորդ հաղորդմանը պրոֆիլների և ընդգրկույթների մասին փաստով, այլ ոչ թե թունելի մասին ևս մեկ տեսությամբ։
Որոշումը փոքր է, և հետևանքները՝ ոչ։ Կատեգորիան firewall-ի ընտրիչ է, և դրան կոսմետիկայի պես վերաբերվելը այն ուղին է, որով աշխատող ծառայությունը դառնում է առեղծված։