Windows の VPN アダプターの「不明なネットワーク」：その意味

Windows は、場所に分類できないインターフェイスすべてに「不明なネットワーク」と表示します。VPN アダプターは独自の既定ゲートウェイを持たないことが多いため、よく該当します。このラベルはファイアウォールのカテゴリであり、トンネルが認証されたか、アプリが何かに到達できるかを述べるものではありません。これをエラー メッセージとして扱うと、人は 動作しているアダプターをリセットし、問題なかったセッションを失うことになります。ラベルに注意を払う価値があるかは、二つのコマンドで分かります。

ラベルはファイアウォールのカテゴリであり、状態ランプではありません

ネットワーク位置認識は、インターフェイスがドメイン、プライベート ネットワーク、パブリック ネットワークのどれに属するかを決め、ファイアウォールはそのカテゴリの規則セットを適用します。分類に失敗した結果が「不明」であり、通常はインターフェイスがパブリック プロファイルに置かれます。パブリック プロファイルは、既定でほとんどの受信トラフィックを遮断するプロファイルです。

パブリックは制限の強いプロファイルなので、実務上の問いは、その場所でサービスが許可されているかどうかです。トンネルが完全に正常でもラベルが出ることはあります。分類は接続の状態ではなく、インターフェイスの形に依存するからです。

この違いが、最も混乱する報告を説明します。昨日は動いていたファイル共有が今日は動かない、誰も変えていないアダプターで起きる場合、規則がプライベート プロファイルに限定されていて、インターフェイスが今パブリックにあるためです。

何かを変える前に 三つを読む

カテゴリ、アドレスの構成、宛先へのルートの順に確認します。リソースが動いているなら、そのラベルは目的に対して見た目だけのものであり、正直な答えはそのままにしておくことです。

次のコマンドは、現在のプロファイル、インターフェイスの一覧、一つのアダプターの構成を出力します。

Get-NetConnectionProfile
Get-NetAdapter | Format-Table Name,InterfaceIndex,Status
Get-NetIPConfiguration -InterfaceAlias "My VPN Adapter"

インターフェイス インデックスが重要なのは、プロファイルのコマンドレットがインデックスでインターフェイスを指定するからです。物理アダプター、Wi-Fi アダプター、トンネルがあるノート PC には 三つあります。間違ったものを読むと、誰も使っていないネットワークについて自信満々の診断を下すことになります。

そもそもアダプターが不明に見える理由

分類は、インターフェイスがどこかに属する証拠を探します。到達できるドメイン コントローラー、家庭内ネットワークのように振る舞うゲートウェイ、解決可能な ID などです。トンネル インターフェイスにはゲートウェイの項目もブロードキャスト ドメインもないことが多く、検査に使える材料がありません。

フル トンネルのクライアントは、ゲートウェイを割り当てたり、分類の検査がたどれるルートを持たせたりしてラベルを避けることがあります。スプリット トンネルのクライアントではより頻繁に表示されます。トンネルは構成されたプレフィックスだけを運び、残りのトラフィックは別の経路で出ていくからです。

どれも不具合ではありません。これは分類エンジンが、LAN らしく見えないインターフェイスを記述しているだけであり、トンネルとはまさにそういうものです。

ラベルが意味を持ち始めるのはポリシーにおいてです。プロファイルで選択する管理ツール、エンドポイント エージェント、ファイアウォール規則は、不明なインターフェイスをパブリックとして扱い、その結果の遮断は現実のものになります。原因が見た目のラベルであっても変わりません。

カテゴリの変更には影響があります

インターフェイスをプライベートとして印付けることは信頼の判断です。そして、そのアダプターに届くトラフィックにプライベートの規則セットを適用します。トンネルが管理下にないプロバイダーで終端する場合や、デバイスが信頼できないネットワークに参加できる場合、この変更はそのインターフェイスから到達できる範囲を広げます。所有していない可能性のあるネットワーク セグメントでデバイスが見つけられるようにもなります。見た目だけのラベルにしては影響が大きすぎます。

不明なインターフェイスをすべてプライベートにする広範なスクリプトはさらに悪く、一度も確認していないアダプターにも同じ信頼を適用します。管理されたデバイスでは、次の更新でポリシーに上書きされることもあり、動かなくなるまで動く修正だけが残ります。

名前ではなく、失敗している流れを直す

具体的な失敗、たとえば開かない共有、読み込まれないサイト、見つからないプリンターから始めます。次に原因を分けます。名前解決、ルート選択、ファイアウォールの範囲、ユーザー権限はそれぞれ違う形で失敗し、違うメッセージを出します。

失敗が名前なら、マシン全体ではなくそのアダプターから名前解決を試します。ルートなら、正確な宛先に対して選択されたルートを出力します。ファイアウォールなら、有効なプロファイルとトラフィックを許可すべき規則を読み、プログラムに限定した狭い規則のほうがカテゴリの変更より良いかを判断します。

この三つを除外して初めてカテゴリが有力な原因になります。その場合でも、修正は必要な流れを動かす最小のものであるべきです。目標はより馴染みのあるネットワーク名ではなく、承認された規則の下で動く共有です。