Á VPN-tengið í Windows að vera einkarelt eða opinbert?

Að setja VPN-tengi í Windows á Einkarelt er rétt fyrir fyrirtækjagöng og rangt fyrir viðskiptavin frá almennum VPN og munurinn er ekki fyrir augað. Netflokkurinn velur eldveggjasnið, þannig að ein breyting hleypir inn heilli reglueiningu í einu. Ég hef séð innskráningarskrift sem setur hvert óþekkt tengi á Einkarelt, sem afhjúpaði hljóðlega skráadeilingu á þráðlausu neti á hóteli. Þrjú skilyrði ráða svarinu og öll verða að gilda áður en þið snertið stillinguna.

Hvað flokkurinn ræður í raun

Network Location Awareness byggir undirskrift fyrir hvert tengt net úr því sem tengið getur greint frá: gáttarfanginu og MAC, DNS-viðskeytinu, hvort lénsstjóri svarar og hvort netið nær internetinu. Windows tengir snið við undirskriftina og eldveggurinn beitir síðan reglueiningunni fyrir það snið. Opinbert er varaleiðin þegar auðkenning mistekst, sem er ástæðan fyrir því að virkt göng geta enn verið merkt sem óþekkt net.

TUN- eða TAP-tengi gefur auðkenningunni venjulega mjög lítið að vinna með. Mótaðilinn í göngunum er oft eitt fang en ekki gátt, DNS kann að vera ýtt aðeins inni í göngunum og tengið hefur enga eigin sjálfgefna leið. Merkið sem verður til lýsir inntaki eldveggjarins, ekki heilsu ganganna, og það er ástæðan fyrir því að reglur einkasniðsins hætta að passa á þeirri stundu sem VPN-tengingin verður.

Skilyrði eitt: göngin eru trausta slóðin

Að velja Einkarelt fullyrðir að allt sem næst gegnum þetta viðmót sé að minnsta kosti jafn áreiðanlegt og ykkar eigið LAN, því uppgötvun og inngöngureglur munu líta á þetta undirnet sem staðbundið. Fyrir fyrirtækjagöng inn í stýrt undirnet með skráaþjónum og prenturum gildir fullyrðingin venjulega. Tengið er dyr inn í net sem ykkar samtök stjórna og vélin hinum megin var tekin inn af sömu stefnu og tók ykkar inn.

Útganga almenns VPN stenst ekki þetta próf. Aðrir áskrifendur deila útgönguundirnetinu og að merkja það Einkarelt setur netuppgötvun, LLMNR og NetBIOS nafnaupplausn á bút fullan af ókunnugum. Skipt göng geta einnig mistekist: þegar tengið ber eina hýsilssóð að einu forriti er ekkert traust undirnet sem ræða má um og flokkabreytingin kaupir ykkur ekkert.

Skilyrði tvö: flokkunin þolir endurtengingar

Ný gátt eða DNS-viðskeyti framleiðir nýja undirskrift og Windows tekur nýja sniðsákvörðun fyrir hana. Einskiptis Set-NetConnectionProfile endist því til næstu endurtengingar, ekki að eilífu. Athugið sniðið eftir endurtengingu en ekki eftir fyrstu tengingu, því þá fellur stillingin til baka af sjálfu sér.

Þrjár leiðir eru til að gera þetta varanlegt. Sú hreinasta er stefna: opnið secpol.msc, farið í Network List Manager Policies og stillið staðsetningartegund fyrir netið, þar á meðal stefnuna fyrir óþekkt net, svo sniðið sé beitt með stefnu en ekki skipun. Önnur er skrift fyrir hverja tengingu eða tímasett verk sem keyrir PowerShell-cmdletið þegar göngin koma upp. Þriðja er gamla leiðabrögðið sem gefur auðkenningunni gátt til að athuga:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Leiðabrögðið er krókur en ekki flokkun. Það brotnar þegar mælireglusambandinu breytist eða VPN-biðlarinn endurskrifar leiðir við endurtengingu og það breytir hljóðlega slóðarvali fyrir allt sem fellur á aðra sjálfgefnu leiðina.

Skilyrði þrjú: þið þurfið einkareglueininguna

Einkarelt ber venjulega skráa- og prentaradeilingu, netuppgötvun og hópa fyrir fjartstjórnun. Ef verkefnið er að ná í SMB-deilingu eða prentara gegnum göngin er það raunverulega ástæðan til að skipta um flokk. Ef verkefnið er útleið að einu vefviðmóti er flokkurinn óviðkomandi: skrifið útleiðarregluna, haldið Opinbert og stöðvið þar.

Lesið töfluna sem útgangspunkt og athugið síðan hvaðar einkareglur eru í raun virkar á ykkar útgáfu. Herð mynd kann að hafa fjarlægt skráadeilingu alveg úr einkasniðinu og þá nær flokkabreytingin engu fyrr en þið bætið reglunni aftur við. Sú athugun kostar eina skipun og sparar langt síðdegi.

Breytingin án þess að víkka allt annað

Beinið að vísisnúmeri viðmótsins en ekki algildistákni og lesið listann fyrir og eftir:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Vistuð snið lifa undir NetworkList-lyklinum í skrásetningunni þar sem gildið Category aðgreinir opinber, einkarelt og lénsnet. Að breyta því er mögulegt og auðvelt að gera rangt: þið verðið að breyta færslunni sem passar við núverandi undirskrift tengisins en ekki eldri færslu sem fyrra fang skildi eftir. Úrelt færsla lítur rétt út í ritlinum og gerir ekkert við endurtengingu.

Hvað sem þið gerið, sendið ekki út skrift sem setur hvert óþekkt tengi á Einkarelt. Það er einlínuútgáfan af að opna uppgötvun á ótraustu þráðlausu neti. Ef þið þurfið deilingu aðeins við undirnet ganganna, haldið sniðinu Opinbert og bætið við takmörkuðum inngöngureglum fyrir fjarsvæði ganganna; eldveggjarreglan er þrengri en flokkurinn.

Sannreynið deilinguna en ekki merkið

Eftir breytinguna skulið þið prófa auðlindina sjálfa í stað þess að treysta merkinu:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Ef deilingin mistekst enn þótt tengið sýni Einkarelt er flokkurinn ekki lengur vandamál ykkar. Nafnaupplausn, leið sem vantar eða deilingarheimildir framkalla sömu einkenni og önnur sniðbreyting getur ekki lagað neitt þeirra. Tengist einu sinni aftur og keyrið Get-NetConnectionProfile aftur til að staðfesta að stillingin hélst og takið síðan eftirstöðvabilunina sem venjulegt SMB-vandamál.

Gátlisti: staðfestið að göngin séu stýrð slóð, að sniðið þoli endurtengingu, að nauðsynlegar einkareglur séu á myndinni og að deilingin leysist og svari á gátt 445. Ef eitthvað af þremur fyrstu er ósatt skuluð þið skilja tengið eftir á Opinbert og leysa aðgangsvandamálið með takmarkaðri reglu.