Rete non identificata su un adattatore VPN di Windows: cosa significa

Windows mostra Rete non identificata per ogni interfaccia che non riesce a classificare in una posizione, e un adattatore VPN è un candidato abituale perché spesso non ha un proprio gateway predefinito. L’etichetta è una categoria del firewall, non un’affermazione sul fatto che il tunnel si sia autenticato o che la tua applicazione raggiunga qualcosa. Trattarla come un messaggio di errore è il modo in cui le persone finiscono per reimpostare un adattatore che funziona e perdere la sessione che andava bene. Due comandi ti dicono se l’etichetta merita qualche attenzione.

L’etichetta è una categoria del firewall, non una spia di stato

Il riconoscimento della posizione di rete decide se un’interfaccia appartiene a un dominio, a una rete privata o a una pubblica, e poi il firewall applica l’insieme di regole di quella categoria. Non identificata è il risultato quando la classificazione fallisce, cosa che di solito colloca l’interfaccia nel profilo pubblico. Il profilo pubblico è quello che blocca la maggior parte del traffico in entrata per impostazione predefinita.

Il pubblico è il profilo restrittivo, quindi la domanda pratica è se il tuo servizio è consentito lì. Un tunnel può essere perfettamente sano e mostrare comunque l’etichetta, perché la classificazione dipende dalla forma dell’interfaccia e non dallo stato della connessione.

Questa distinzione spiega i resoconti più confusi: una condivisione file che ieri funzionava e oggi no, su un adattatore che nessuno ha modificato, perché una regola era limitata al profilo privato e l’interfaccia ora è nel pubblico.

Leggi tre cose prima di cambiare qualcosa

Controlla la categoria, la configurazione dell’indirizzo e la rotta verso la destinazione, in quest’ordine. Se la risorsa funziona, l’etichetta è cosmetica per i tuoi scopi e la risposta onesta è lasciarla stare.

Questi comandi stampano il profilo attuale, l’inventario delle interfacce e la configurazione di un adattatore:

Get-NetConnectionProfile
Get-NetAdapter | Format-Table Name,InterfaceIndex,Status
Get-NetIPConfiguration -InterfaceAlias "My VPN Adapter"

L’indice dell’interfaccia conta perché i cmdlet di profilo indirizzano le interfacce per indice, e un portatile con un adattatore fisico, un adattatore Wi-Fi e un tunnel ne ha tre. Leggere quello sbagliato produce una diagnosi sicura di una rete che nessuno usa.

Perché l’adattatore sembra non identificato

La classificazione cerca prove che l’interfaccia appartenga a qualche luogo: un controller di dominio che riesce a raggiungere, un gateway che si comporta come una rete domestica o un’identità risolvibile. Un’interfaccia di tunnel spesso non ha voce di gateway né dominio di broadcast, quindi le sonde non hanno con cosa lavorare.

I client in tunnel completo a volte evitano l’etichetta assegnando un gateway o portando una rotta che una sonda di classificazione può seguire. I client in tunnel diviso la mostrano più spesso, perché il tunnel porta solo i prefissi per cui è stato configurato e il resto del traffico esce altrove.

Niente di tutto ciò è un difetto. È il motore di classificazione che descrive un’interfaccia che non assomiglia a una LAN, e un tunnel è esattamente questo.

Dove l’etichetta inizia a contare è nella politica. Uno strumento di gestione, un agente endpoint o una regola del firewall che seleziona per profilo tratterà l’interfaccia non identificata come pubblica, e il blocco che ne deriva è reale anche se la causa è un’etichetta.

Cambiare la categoria ha conseguenze

Contrassegnare l’interfaccia come privata è una decisione di fiducia, e applica l’insieme di regole private al traffico che arriva su quell’adattatore. Se il tunnel termina presso un provider che non controlli, o se il dispositivo può unirsi a reti non affidabili, quella modifica amplia ciò che è raggiungibile da quell’interfaccia. Rende anche il dispositivo individuabile su un segmento di rete che forse non possiedi. Sono molte conseguenze per un’etichetta cosmetica.

Uno script ampio che imposta ogni interfaccia non identificata come privata è peggio, perché applica la stessa fiducia ad adattatori che non hai mai ispezionato. Su un dispositivo gestito la modifica può anche essere sovrascritta dalla politica al successivo aggiornamento, lasciandoti una correzione che funziona finché non smette.

Ripara il flusso che fallisce, non il nome

Parti da un guasto concreto: una condivisione che non si apre, un sito che non carica, una stampante che non si trova. Poi separa le cause — risoluzione dei nomi, selezione della rotta, ambito del firewall e permesso utente falliscono in modi diversi e producono messaggi diversi.

Se il guasto è un nome, prova la risoluzione specificamente da quell’adattatore invece che dalla macchina in generale. Se è una rotta, stampa la rotta selezionata per la destinazione esatta. Se è il firewall, leggi il profilo in vigore e la regola che dovrebbe consentire il traffico, poi decidi se una regola stretta limitata al programma sia meglio di un cambio di categoria.

Solo dopo aver eliminato questi tre elementi la categoria diventa la causa probabile, e anche allora la riparazione dovrebbe essere la più piccola che fa funzionare il flusso richiesto. Un nome di rete più familiare non è l’obiettivo; una condivisione che funziona sotto una regola approvata lo è.