უნდა იყოს Windows-ის VPN ადაპტერი კერძო თუ საჯარო?
სამი ტესტით გადაწყვიტეთ, მიეკუთვნება თუ არა Windows-ის VPN ადაპტერი კერძო პროფილს: სანდო გზა, სტაბილური კლასიფიკაცია და წესები, რომლებიც ნამდვილად გჭირდებათ.
Windows-ის VPN ადაპტერის კერძოზე დაყენება სწორია კორპორატიული გვირაბისთვის და მცდარია კომერციული VPN კლიენტისთვის, და განსხვავება გარეგნული არ არის. ქსელის კატეგორია ირჩევს firewall-ის პროფილს, ამიტომ ერთი ცვლილება ერთდროულად მთელ წესთა ერთობლიობას უშვებს. მინახავს შესვლის სკრიპტი, რომელიც ყოველ ამოუცნობ ადაპტერს კერძოზე აყენებდა, რამაც სასტუმროს უსადენო ქსელში ფაილების გაზიარება ჩუმად გაამჟღავნა. პასუხს სამი პირობა განსაზღვრავს და ყველა უნდა სრულდებოდეს სანამ პარამეტრს შეეხებით.
რას განსაზღვრავს კატეგორია სინამდვილეში
Network Location Awareness ყოველი დაკავშირებული ქსელისთვის ხელმოწერას აგებს იმისგან, რაც ადაპტერს შეუძლია მოახსენოს: კარიბჭის მისამართი და MAC, DNS-ის სუფიქსი, პასუხობს თუ არა დომენის კონტროლერი და აღწევს თუ არა ქსელი ინტერნეტს. Windows ამ ხელმოწერას პროფილს უკავშირებს, შემდეგ კი firewall ამ პროფილის წესთა ერთობლიობას იყენებს. საჯარო არის სარეზერვო ვარიანტი, როცა იდენტიფიკაცია ვერ ხერხდება, ამიტომ მომუშავე გვირაბი მაინც შეიძლება ამოუცნობ ქსელად იყოს მონიშნული.
TUN ან TAP ადაპტერი ჩვეულებრივ ძალიან ცოტა ინფორმაციას აძლევს იდენტიფიკაციას. გვირაბის პარტნიორი ხშირად ერთი მისამართია და არა კარიბჭე, DNS შეიძლება მხოლოდ გვირაბის შიგნით გაიგზავნოს, და ადაპტერს საკუთარი ნაგულისხმევი მარშრუტი არ აქვს. მიღებული იარლიყი firewall-ის შემავალს აღწერს და არა გვირაბის მდგომარეობას, და სწორედ ამიტომ წყვეტს კერძო პროფილის წესები შესაბამისობას VPN-ის დაკავშირების წამს.
პირველი პირობა: გვირაბი სანდო გზაა
კერძოს არჩევა ამტკიცებს, რომ ყველაფერი, რაც ამ ინტერფეისით მისაწვდომია, სულ ცოტა ისეთივე სანდოა, როგორც თქვენი LAN, რადგან აღმოჩენა და შემავალი წესები ამ ქვექსელს ლოკალურად ჩათვლის. ფაილური სერვერებითა და პრინტერებით მართული ქვექსელისკენ კორპორატიული გვირაბისთვის ეს მტკიცება ჩვეულებრივ სწორია. ადაპტერი კარია იმ ქსელში, რომელსაც თქვენი ორგანიზაცია აკონტროლებს, და მეორე მხარეს მყოფი მანქანა დაშვებულია იმავე პოლიტიკით, რომელმაც თქვენი დაუშვა.
კომერციული VPN-ის გასასვლელი ამ ტესტს ვერ გადის. სხვა აბონენტები იზიარებენ გასასვლელ ქვექსელს, და მისი კერძოდ მონიშვნა ქსელის აღმოჩენას, LLMNR-ს და NetBIOS სახელების გარჩევას უცნობებით სავსე სეგმენტზე აყენებს. გაყოფილი გვირაბიც შეიძლება ჩავარდეს: როცა ადაპტერი ერთი ჰოსტის მარშრუტს ატარებს ერთი აპლიკაციისკენ, სანდო ქვექსელი არ არსებობს და კატეგორიის შეცვლა არაფერს გაძლევთ.
მეორე პირობა: კლასიფიკაცია გადარჩება ხელახალ დაკავშირებებს
ახალი კარიბჭე ან DNS სუფიქსი ახალ ხელმოწერას ქმნის, და Windows მასზე ახალ პროფილის გადაწყვეტილებას იღებს. ამიტომ ერთჯერადი Set-NetConnectionProfile შემდეგ ხელახალ დაკავშირებამდე ძლებს და არა სამუდამოდ. შეამოწმეთ პროფილი ხელახალი დაკავშირების შემდეგ და არა პირველი დაკავშირების შემდეგ, რადგან სწორედ მაშინ ბრუნდება პარამეტრი თავისით.
მის მუდმივ გასაკეთებლად სამი გზა არსებობს. ყველაზე სუფთა პოლიტიკაა: გახსენით secpol.msc, გადადით Network List Manager Policies-ში და დააყენეთ ქსელის მდებარეობის ტიპი, მათ შორის ამოუცნობი ქსელის პოლიტიკა, რათა პროფილი პოლიტიკით გამოიყენოს და არა ბრძანებით. მეორე არის თითო კავშირის სკრიპტი ან დაგეგმილი ამოცანა, რომელიც PowerShell cmdlet-ს გვირაბის აწევის შემდეგ უშვებს. მესამე ძველი მარშრუტის ხრიკია, რომელიც იდენტიფიკაციას შესამოწმებელ კარიბჭეს აძლევს:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileმარშრუტის ხრიკი გვერდის ავლაა და არა კლასიფიკაცია. ის ტყდება, როცა მეტრიკების თანაფარდობა იცვლება ან VPN კლიენტი ხელახალი დაკავშირებისას მარშრუტებს გადაწერს, და ჩუმად ცვლის გზის არჩევას ყველაფრისთვის, რაც მეორე ნაგულისხმევ მარშრუტზე ვარდება.
მესამე პირობა: გჭირდებათ კერძო წესთა ერთობლიობა
კერძო ჩვეულებრივ ატარებს ფაილებისა და პრინტერების გაზიარებას, ქსელის აღმოჩენას და დისტანციური ადმინისტრირების ჯგუფებს. თუ ამოცანა გვირაბის გავლით SMB გაზიარებაზე ან პრინტერზე მიღწევაა, ესაა კატეგორიის შეცვლის ნამდვილი მიზეზი. თუ ამოცანა ერთ ვებ აპლიკაციაზე გამავალი წვდომაა, კატეგორია უმნიშვნელოა: დაწერეთ გამავალი წესი, დატოვეთ საჯარო და იქ გაჩერდით.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
წაიკითხეთ ცხრილი როგორც საწყისი წერტილი, შემდეგ შეამოწმეთ რომელი კერძო წესებია თქვენს ასახვაზე ნამდვილად ჩართული. გამაგრებულ ასახვას შეიძლება ფაილების გაზიარება სრულიად წაეშალა კერძო პროფილიდან, და ამ შემთხვევაში კატეგორიის შეცვლა ვერაფერს აღწევს სანამ წესს უკან დააბრუნებთ. ეს შემოწმება ერთ ბრძანებას ღირს და გრძელ ნაშუადღევს ზოგავს.
ცვლილების გაკეთება დანარჩენის გაფართოების გარეშე
დაამიზნეთ ინტერფეისის ინდექსი და არა ჟოლო-სიმბოლო, და წაიკითხეთ სია მანამდე და შემდეგ:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileშენახული პროფილები ცხოვრობენ რეესტრის NetworkList გასაღების ქვეშ, სადაც Category მნიშვნელობა გამოყოფს საჯარო, კერძო და დომენურ ქსელებს. მისი რედაქტირება შესაძლებელია და მარტივია შეცდომით: უნდა შეცვალოთ ის ჩანაწერი, რომელიც ადაპტერის მიმდინარე ხელმოწერას შეესაბამება და არა უფრო ძველი ჩანაწერი, რომელიც წინა მისამართმა დატოვა. მოძველებული ჩანაწერი რედაქტორში სწორად გამოიყურება და ხელახალი დაკავშირებისას არაფერს აკეთებს.
რაც არ უნდა გააკეთოთ, ნუ გაავრცელებთ სკრიპტს, რომელიც ყოველ ამოუცნობ ადაპტერს კერძოზე აყენებს. ეს არის არასანდო უსადენო ქსელში აღმოჩენის გახსნის ერთსტრიქონიანი ვერსია. თუ გაზიარება მხოლოდ გვირაბის ქვექსელთან გჭირდებათ, დატოვეთ პროფილი საჯარო და დაამატეთ შეზღუდული შემავალი წესები გვირაბის დისტანციური მისამართების დიაპაზონისთვის; firewall-ის წესი კატეგორიაზე ვიწროა.
შეამოწმეთ გაზიარება და არა იარლიყი
ცვლილების შემდეგ გამოსცადეთ თავად რესურსი და ნუ დაეყრდნობით იარლიყს:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleთუ გაზიარება კვლავ ვერ ხერხდება, სანამ ადაპტერი კერძოს აჩვენებს, კატეგორია უკვე თქვენი პრობლემა აღარ არის. სახელების გარჩევა, დაკარგული მარშრუტი ან გაზიარების ნებართვები იმავე სიმპტომს გამოიწვევს, და პროფილის კიდევ ერთი შეცვლა ვერც ერთს გამოასწორებს. დაუკავშირდით ერთხელ ხელახლა და ხელახლა გაუშვით Get-NetConnectionProfile, რომ დაადასტუროთ პარამეტრის შენარჩუნება, შემდეგ დარჩენილი ხარვეზი ჩვეულებრივ SMB პრობლემად მოაგვარეთ.
ჩამონათვალი: დაადასტურეთ, რომ გვირაბი მართული გზაა, პროფილი ხელახალ დაკავშირებას უძლებს, საჭირო კერძო წესები ასახვაზე არსებობს და გაზიარება იხსნება და პასუხობს 445 პორტზე. თუ პირველი სამიდან რომელიმე მცდარია, დატოვეთ ადაპტერი საჯაროზე და შეზღუდული წესით მოაგვარეთ წვდომის პრობლემა.