Perché un adattatore VPN finisce sempre nel profilo di lavoro

Connetti il tunnel aziendale e il portatile cambia carattere in silenzio. La condivisione file si ferma, la ricerca per nome fallisce, un’applicazione che ascoltava smette di ascoltare e Impostazioni mostra la connessione come Lavoro o Non identificata. Esistono tre modi per fissare quella classificazione, e la scelta dipende dal fatto che il dispositivo sia gestito, che l’etichetta continui a tornare indietro e che qualcosa abbia davvero bisogno di individuazione su quell’adattatore.

Che cosa controlla davvero l’etichetta

Windows raggruppa ogni rete in una categoria e ne ricava un profilo del firewall. Il profilo Pubblico rifiuta condivisione in ingresso, individuazione e porte per file e stampanti prima che venga consultata qualsiasi regola aggiunta, mentre Privato consente di più. Le applicazioni che controllano la categoria prima di esporre un servizio vedono lo stesso valore.

Si tratta di una scelta di criteri, non di una decisione di routing. Un indirizzo può essere perfettamente raggiungibile e comunque rifiutato perché il profilo in vigore non contiene una regola corrispondente, e nessuna riparazione delle rotte cambierà questo fatto. Due domande diverse, due strumenti diversi. Confonderle è il motivo più comune per cui una soluzione sembra funzionare e poi smette.

La categoria è memorizzata per rete, e la rete è identificata da una firma. Per una LAN ordinaria quella firma comprende l’indirizzo hardware del gateway predefinito e il suffisso DNS della connessione, due elementi di cui un adattatore VPN di solito è privo. Una firma debole significa che lo stesso tunnel può sembrare una nuova rete dopo un aggiornamento del client.

Ecco perché l’etichetta sembra cambiare da sola. Windows non agisce per capriccio; semplicemente non riconosce più il tunnel come la rete che aveva classificato la settimana scorsa.

Tre condizioni che decidono l’approccio

La prima condizione è la proprietà. Su un portatile gestito l’impostazione è spesso bloccata, e una modifica locale verrà sovrascritta al successivo aggiornamento dei criteri. Combattere questo costa un pomeriggio; i criteri sono il canale supportato e l’unico che tiene.

La seconda condizione è la ricorrenza. Se l’etichetta è tornata indietro più di una volta, il valore per rete viene ricostruito da una firma cambiata, e modificarlo di nuovo non durerà. I valori dei criteri vivono in un ramo separato che prevale sui valori per utente che Windows ricostruisce a ogni riconnessione dell’adattatore.

La terza condizione è la necessità. Alcuni ambienti richiedono davvero risoluzione dei nomi e individuazione attraverso il tunnel, e quelli vogliono regole del firewall strette per indirizzi specifici invece di un intero adattatore spostato su Privato. Cambiare la categoria per far funzionare un servizio è il modo in cui un tunnel finisce per esporre più del previsto.

Rispondi alle tre condizioni e la scelta si fa da sé. Due che indicano i criteri significano criteri, e una che indica una prova una tantum significa una modifica locale che intendi scartare.

Fissala, poi rileggi quale profilo è in vigore

Criteri di sicurezza locali espone l’impostazione in Criteri di Gestione elenco reti. Apri secpol.msc, espandi quel nodo, apri la voce della rete del tunnel, imposta il tipo di posizione su Pubblico e imposta l’autorizzazione utente in modo che la posizione non possa essere cambiata. Queste impostazioni finiscono nel ramo Criteri dello stesso albero, ed è per questo che prevalgono sui valori per utente che una riconnessione riscrive.

Pubblico di solito è la scelta giusta per un adattatore VPN, perché blocca per impostazione predefinita condivisione in ingresso e individuazione. È la scelta prudente per un tunnel che può finire su un segmento non affidabile, e può essere allentata più avanti con regole specifiche invece che con un cambio di categoria. Allargare la categoria per riparare un servizio è uno scambio difficile da invertire. Una regola si rimuove in pochi secondi.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Il primo comando riporta la categoria in vigore e non quella nella finestra di dialogo, ed è quel valore a decidere il comportamento del firewall. Il secondo conferma che il profilo applicato è abilitato e su quale ti stai davvero basando.

Nota che cosa la coppia non dimostra. Nessuno dei due comandi mostra se esiste una specifica regola in ingresso, quindi un servizio che ancora non risponde ha bisogno di un controllo delle regole e non di un altro cambio di categoria.

Quando il sintomo non è la categoria

Un indicatore di rete può restare indietro rispetto alla connessione, e versioni precedenti di Windows avevano un difetto documentato per cui una VPN a tunnel forzato appariva come Limitata mentre il traffico fluiva e le applicazioni pacchettizzate si rifiutavano di usarla. L’indicatore sbagliava; il tunnel funzionava.

Quindi verifica ciò che interessa davvero all’utente invece dell’icona. Raggiungi il servizio per indirizzo, poi per nome, poi tramite l’applicazione. Ogni passo separa routing, risoluzione e criteri applicativi, e la categoria entra in gioco solo al passo del firewall.

Se la categoria è corretta e il servizio continua a fallire, controlla l’ambito delle regole. Una regola scritta per il profilo Privato smette di corrispondere nel momento in cui l’adattatore è Pubblico, e questo è un guasto diverso da una regola che non è mai stata creata.

Annota la categoria prevista, se è imposta dai criteri e gli indirizzi che richiedono eccezioni. Quella nota risponde alla prossima segnalazione di condivisioni che scompaiono con un fatto su profili e ambiti invece che con un’altra teoria sul tunnel.

La decisione è piccola e le conseguenze no. Una categoria è un selettore del firewall, e trattarla come un dettaglio estetico è il modo in cui un servizio funzionante diventa un mistero.