Apakah Adaptor VPN Windows Anda Harus Privat atau Publik?
Putuskan apakah adaptor VPN Windows termasuk profil Privat dengan tiga uji: jalur tepercaya, klasifikasi stabil, dan aturan yang benar-benar Anda butuhkan.
Menyetel adaptor VPN Windows ke Privat benar untuk terowongan korporat dan salah untuk klien VPN komersial, dan perbedaannya bukan sekadar kosmetik. Kategori jaringan memilih profil firewall, sehingga satu perubahan sekaligus meloloskan seluruh kumpulan aturan. Saya pernah melihat skrip masuk menyetel setiap adaptor tak dikenal ke Privat, yang diam-diam membuka berbagi berkas di jaringan nirkabel hotel. Tiga syarat menentukan jawabannya, dan semuanya harus terpenuhi sebelum Anda menyentuh setelan itu.
Apa yang sebenarnya ditentukan kategori
Network Location Awareness membangun tanda tangan untuk setiap jaringan yang terhubung dari apa yang bisa dilaporkan adaptor: alamat gateway dan MAC, sufiks DNS, apakah pengendali domain menjawab, dan apakah jaringan mencapai internet. Windows melampirkan profil ke tanda tangan itu, lalu firewall menerapkan kumpulan aturan untuk profil tersebut. Publik adalah cadangan saat identifikasi gagal, itulah sebabnya terowongan yang berfungsi masih bisa diberi label jaringan tak dikenal.
Adaptor TUN atau TAP biasanya memberi identifikasi sangat sedikit bahan. Rekan terowongan sering berupa satu alamat alih-alih gateway, DNS mungkin hanya didorong di dalam terowongan, dan adaptor tidak punya rute bawaan sendiri. Label yang dihasilkan menggambarkan masukan firewall, bukan kesehatan terowongan, dan itulah sebabnya aturan profil privat berhenti cocok pada saat VPN terhubung.
Syarat satu: terowongan adalah jalur tepercaya
Memilih Privat menyatakan bahwa semua yang terjangkau melalui antarmuka ini setidaknya sama tepercayanya dengan LAN Anda sendiri, karena penemuan dan aturan masuk akan memperlakukan subnet itu sebagai lokal. Untuk terowongan korporat ke subnet terkelola dengan server berkas dan printer, pernyataan itu biasanya berlaku. Adaptor adalah pintu ke jaringan yang dikendalikan organisasi Anda, dan mesin di sisi lain diterima oleh kebijakan yang sama yang menerima mesin Anda.
Keluaran VPN komersial gagal dalam uji ini. Pelanggan lain berbagi subnet keluar, dan menandainya Privat menempatkan penemuan jaringan, LLMNR, dan resolusi nama NetBIOS pada segmen penuh orang asing. Terowongan terpisah juga bisa gagal: ketika adaptor membawa satu rute host ke satu aplikasi, tidak ada subnet tepercaya yang bisa dibicarakan, dan perubahan kategori tidak memberi Anda apa pun.
Syarat dua: klasifikasi bertahan saat tersambung ulang
Gateway atau sufiks DNS baru menghasilkan tanda tangan baru, dan Windows mengambil keputusan profil baru untuknya. Karena itu Set-NetConnectionProfile sekali pakai hanya bertahan sampai sambungan ulang berikutnya, bukan selamanya. Periksa profil setelah sambungan ulang, bukan setelah sambungan pertama, karena saat itulah setelan kembali dengan sendirinya.
Ada tiga cara membuatnya bertahan. Yang paling bersih adalah kebijakan: buka secpol.msc, masuk ke Network List Manager Policies, dan atur jenis lokasi untuk jaringan, termasuk kebijakan jaringan tak dikenal, agar profil diterapkan oleh kebijakan alih-alih perintah. Yang kedua adalah skrip per koneksi atau tugas terjadwal yang menjalankan cmdlet PowerShell setelah terowongan naik. Yang ketiga adalah trik rute lama, yang memberi identifikasi sebuah gateway untuk diperiksa:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileTrik rute adalah jalan pintas, bukan klasifikasi. Ia rusak ketika hubungan metrik berubah atau klien VPN menulis ulang rute saat tersambung ulang, dan diam-diam mengubah pemilihan jalur bagi apa pun yang jatuh ke rute bawaan kedua.
Syarat tiga: Anda memerlukan kumpulan aturan privat
Privat biasanya membawa Berbagi Berkas dan Printer, Penemuan Jaringan, dan grup administrasi jarak jauh. Jika tugasnya menjangkau berbagi SMB atau printer melalui terowongan, itulah alasan sebenarnya mengganti kategori. Jika tugasnya akses keluar ke satu aplikasi web, kategorinya tidak relevan: tulis aturan keluar, pertahankan Publik, dan berhenti di situ.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Baca tabel sebagai titik awal, lalu periksa aturan privat mana yang benar-benar aktif pada build Anda. Image yang diperkeras mungkin telah menghapus berbagi berkas sepenuhnya dari profil privat, dan dalam hal itu perubahan kategori tidak mencapai apa pun sampai Anda menambahkan aturannya kembali. Pemeriksaan itu memakan satu perintah dan menghemat sore yang panjang.
Melakukan perubahan tanpa memperlebar semua yang lain
Sasar indeks antarmuka, bukan karakter pengganti, dan baca daftarnya sebelum dan sesudah:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileProfil tersimpan berada di bawah kunci NetworkList di registri, tempat nilai Category memisahkan jaringan publik, privat, dan domain. Menyuntingnya mungkin dan mudah salah: Anda harus mengubah entri yang cocok dengan tanda tangan adaptor saat ini, bukan entri lama yang ditinggalkan alamat sebelumnya. Entri usang tampak benar di editor dan tidak melakukan apa pun saat tersambung ulang.
Apa pun yang Anda lakukan, jangan merilis skrip yang menyetel setiap adaptor tak dikenal ke Privat. Itu adalah versi satu baris dari membuka penemuan di nirkabel yang tidak tepercaya. Jika Anda hanya perlu berbagi dengan subnet terowongan, pertahankan profil Publik dan tambahkan aturan masuk terbatas pada rentang alamat jarak jauh terowongan; aturan firewall lebih sempit daripada kategorinya.
Verifikasi berbaginya, bukan labelnya
Setelah perubahan, uji sumber daya itu sendiri alih-alih memercayai label:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleJika berbagi masih gagal sementara adaptor menampilkan Privat, kategorinya bukan lagi masalah Anda. Resolusi nama, rute yang hilang, atau izin berbagi akan menghasilkan gejala yang sama, dan mengubah profil lagi tidak dapat memperbaiki satu pun darinya. Sambungkan ulang sekali dan jalankan Get-NetConnectionProfile lagi untuk memastikan setelan bertahan, lalu tangani kegagalan tersisa sebagai masalah SMB biasa.
Daftar periksa: pastikan terowongan adalah jalur terkelola, profil bertahan setelah sambungan ulang, aturan privat yang Anda butuhkan ada pada image, dan berbagi teresolusi serta menjawab di port 445. Jika salah satu dari tiga yang pertama salah, biarkan adaptor di Publik dan selesaikan masalah akses dengan aturan terbatas.