VPN アダプターが常に仕事用プロファイルに入る理由
Windows はファイアウォールのプロファイルを VPN アダプターの弱い署名に結びつけます。場所をポリシーで固定し、実際に有効なのはどのプロファイルかを確認してください。
社内トンネルに接続すると、ノート PC は静かに性格を変えます。ファイル共有が止まり、名前での閲覧が失敗し、以前は待ち受けていたアプリが待ち受けなくなり、設定は接続を「仕事用」または「未識別」と表示します。この分類を固定する方法は三つあり、どれを選ぶかは、端末が管理されているか、ラベルが戻り続けるか、そのアダプターで本当に検出が必要かによって変わります。
ラベルが実際に制御しているもの
Windows は各ネットワークをカテゴリにまとめ、そこからファイアウォールのプロファイルを選びます。パブリック プロファイルは、追加した規則が検討される前に、受信の共有、検出、ファイルとプリンターのポートを拒否します。一方、プライベートはより多くを許可します。サービスを公開する前にカテゴリを確認するアプリは、同じ値を見ます。
これはポリシーの選択であり、ルーティングの判断ではありません。アドレスが完全に到達可能でも、有効なプロファイルに対応する規則がなければ拒否され、経路の修理では変わりません。二つの異なる問い、二つの異なる道具です。これを混同することが、修正が効いたように見えて止まる最も一般的な理由です。
カテゴリはネットワークごとに保存され、ネットワークは署名で識別されます。通常の LAN では、その署名に既定ゲートウェイのハードウェア アドレスと接続の DNS サフィックスが含まれ、VPN アダプターにはどちらも通常ありません。署名が弱いと、同じトンネルがクライアント更新後に新しいネットワークに見えることがあります。
だからラベルがひとりでに変わるように見えるのです。Windows は気まぐれではなく、先週分類したネットワークとしてトンネルを認識できていないだけです。
方針を決める三つの条件
第一の条件は所有権です。管理されたノート PC では設定がしばしばロックされ、ローカルの変更は次のポリシー更新で上書きされます。それと戦うのは午後を無駄にするだけです。ポリシーがサポートされた経路であり、唯一持ちこたえる経路です。
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
第二の条件は再発です。ラベルが二度以上戻っているなら、ネットワークごとの値は変わった署名から作り直されており、編集し直しても長持ちしません。ポリシーの値は別の分岐にあり、アダプターが再接続するたびに Windows が作り直すユーザーごとの値より優先されます。
第三の条件は必要性です。トンネル越しの名前解決と検出が本当に必要な環境もあり、そうした環境はアダプター全体をプライベートに移すのではなく、特定のアドレス向けの狭いファイアウォール規則を望みます。一つのサービスを動かすためにカテゴリを変えるのが、トンネルが意図より多くを晒してしまう道です。
三つの条件に答えれば、選択はおのずと決まります。二つがポリシーを指すならポリシー、一つが一度きりの試験を指すなら捨てるつもりのローカル変更です。
固定してから、どのプロファイルが有効かを読み取る
ローカル セキュリティ ポリシーは、ネットワーク一覧のポリシーの下にこの設定を表示します。secpol.msc を開き、そのノードを展開し、トンネルのネットワークの項目を開き、場所の種類をパブリックにし、場所を変更できないようにユーザー権限を設定します。これらの設定は同じツリーのポリシー分岐に入るため、再接続が書き直すユーザーごとの値より優先されます。
VPN アダプターには通常パブリックが適切です。既定で受信の共有と検出を遮断するからです。信頼できないセグメントに落ちる可能性のあるトンネルには保守的な選択で、後からカテゴリを変えるのではなく特定の規則で緩められます。一つのサービスを直すためにカテゴリを広げるのは、簡単には戻せない取引です。規則は数秒で削除できます。
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled最初のコマンドはダイアログの値ではなく有効なカテゴリを報告し、ファイアウォールの挙動を決めるのはその値です。二つ目は、適用されているプロファイルが有効で、実際にどちらに頼っているかを確認します。
この組が何を証明しないかに注意してください。どちらのコマンドも特定の受信規則の有無を示さないため、まだ応答しないサービスには規則の確認が必要で、カテゴリの再変更ではありません。
症状がカテゴリでない場合
ネットワーク表示は接続より遅れることがあり、古い Windows には、強制トンネル VPN が制限ありと表示される一方で通信は流れ、パッケージ化されたアプリが使おうとしないという文書化された不具合がありました。表示が誤りで、トンネルは動いていました。
だからアイコンではなく、利用者が本当に気にするものを試してください。アドレスでサービスに到達し、次に名前で、次にアプリ経由で。各段階がルーティング、名前解決、アプリのポリシーを切り分け、カテゴリはファイアウォールの段階でだけ関与します。
カテゴリが正しくてもサービスが失敗するなら、規則の適用範囲を確認してください。プライベート向けに書いた規則は、アダプターがパブリックになった瞬間に対象外になります。これは一度も作られなかった規則とは別の障害です。
意図したカテゴリ、ポリシーで強制されているか、例外が必要なアドレスを記録してください。そのメモは、共有が消えるという次の報告に、プロファイルと適用範囲という事実で答えます。トンネルについての別の推測ではなく。
判断は小さく、結果は小さくありません。カテゴリはファイアウォールの選択子であり、それを見た目の問題として扱うことが、動いているサービスを謎に変える道です。