Windows жүйесіндегі VPN адаптері жеке немесе жария болуы керек пе?
Үш тексерумен Windows VPN адаптерінің жеке профильге жататынын анықтаңыз: сенімді жол, тұрақты жіктеу және сізге шынымен қажет ережелер.
Windows VPN адаптерін «Жеке» күйіне қою корпоративтік туннель үшін дұрыс, ал коммерциялық VPN клиенті үшін қате, және айырмашылық сыртқы емес. Желі санаты брандмауэр профилін таңдайды, сондықтан бір өзгеріс бірден тұтас ережелер жиынтығын жібереді. Мен кіру сценарийінің әрбір белгісіз адаптерді «Жеке» етіп қоятынын көрдім, бұл қонақ үйдің сымсыз желісіндегі файл алмасуды байқатпай ашып тастады. Жауапты үш шарт анықтайды және олардың барлығы параметрге тимес бұрын орындалуы керек.
Санат шын мәнінде нені анықтайды
Network Location Awareness әрбір қосылған желі үшін адаптер хабарлай алатын деректерден қолтаңба құрады: шлюз мекенжайы мен MAC, DNS қосымшасы, домен контроллері жауап бере ме, және желі интернетке жетеді ме. Windows осы қолтаңбаға профиль байланыстырады, содан кейін брандмауэр сол профильдің ережелер жиынтығын қолданады. Сәйкестендіру сәтсіз болса, «Жария» сақтық нұсқасы болып табылады, сондықтан жұмыс істеп тұрған туннель әлі де белгісіз желі деп белгіленуі мүмкін.
TUN немесе TAP адаптері әдетте сәйкестендіруге өте аз ақпарат береді. Туннельдің серіктесі көбінесе шлюз емес, бір мекенжай, DNS тек туннель ішінде жіберілуі мүмкін, ал адаптердің өзіндік әдепкі маршруты жоқ. Алынған белгі брандмауэр кірісін сипаттайды, туннельдің күйін емес, сондықтан жеке профиль ережелері VPN қосылған сәтте сәйкестікті тоқтатады.
Бірінші шарт: туннель — сенімді жол
«Жеке» таңдау осы интерфейс арқылы қолжетімді барлық нәрсенің кемінде өз LAN желіңіздей сенімді екенін білдіреді, өйткені анықтау және кіріс ережелері бұл ішкі желіні жергілікті деп санайды. Файл серверлері мен принтерлері бар басқарылатын ішкі желіге корпоративтік туннель үшін бұл тұжырым әдетте дұрыс. Адаптер — ұйымыңыз бақылайтын желіге апаратын есік, ал арғы жақтағы машина сіздікін қабылдаған саясатпен қабылданған.
Коммерциялық VPN шығысы бұл тексеруден өтпейді. Басқа абоненттер шығыс ішкі желісін бөліседі, ал оны «Жеке» деп белгілеу желіні анықтауды, LLMNR және NetBIOS атауын шешуді бейтаныстарға толы сегментке қояды. Бөлінген туннель де сәтсіз болуы мүмкін: адаптер бір қосымшаға бір хост маршрутын тасыса, сенімді ішкі желі туралы айтуға болмайды және санатты өзгерту сізге ештеңе бермейді.
Екінші шарт: жіктеу қайта қосылуларға төтеп береді
Жаңа шлюз немесе DNS қосымшасы жаңа қолтаңба жасайды, ал Windows ол үшін жаңа профиль шешімін қабылдайды. Сондықтан бір реттік Set-NetConnectionProfile келесі қайта қосылуға дейін ғана сақталады, мәңгі емес. Профильді бірінші қосылудан кейін емес, қайта қосылудан кейін тексеріңіз, өйткені параметр дәл сонда өздігінен қайтады.
Оны тұрақты етудің үш жолы бар. Ең тазасы — саясат: secpol.msc ашыңыз, Network List Manager Policies бөліміне өтіп, желі үшін орналасу түрін, оның ішінде белгісіз желі саясатын орнатыңыз, осылайша профиль пәрменмен емес, саясатпен қолданылады. Екіншісі — туннель көтерілгеннен кейін PowerShell cmdlet-ін іске қосатын қосылым сайынғы сценарий немесе жоспарланған тапсырма. Үшіншісі — сәйкестендіруге тексеру үшін шлюз беретін ескі маршрут тәсілі:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileМаршрут тәсілі — айналсоқ жол, жіктеу емес. Метрика қатынасы өзгергенде немесе VPN клиенті қайта қосылу кезінде маршруттарды қайта жазғанда бұзылады және екінші әдепкі маршрутқа түсетін барлық нәрсенің жол таңдауын байқатпай өзгертеді.
Үшінші шарт: сізге жеке ережелер жиынтығы қажет
«Жеке» әдетте файл және принтер алмасуды, желіні анықтауды және қашықтан басқару топтарын тасымалдайды. Егер міндет туннель арқылы SMB алмасуына немесе принтерге жету болса, бұл санатты өзгертудің нақты себебі. Егер міндет бір веб-қосымшаға шығыс қатынасы болса, санат маңызсыз: шығыс ережесін жазыңыз, «Жария» күйінде қалдырыңыз және сонда тоқтаңыз.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Кестені бастапқы нүкте ретінде оқыңыз, содан кейін өз бейнеңізде қандай жеке ережелер шын мәнінде қосылғанын тексеріңіз. Қатайтылған бейне файл алмасуды жеке профильден толығымен алып тастаған болуы мүмкін, ондай жағдайда ережені қайтармайынша санатты өзгерту ештеңе бермейді. Бұл тексеру бір пәрменге тұрады және ұзақ түстен кейінді үнемдейді.
Өзгеріс жасау, қалғанын кеңейтпеу
Интерфейс индексін нысанаға алыңыз, әмбебап таңбаны емес, және тізімді бұрын және кейін оқыңыз:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileСақталған профильдер тіркелімдегі NetworkList кілтінің астында тұрады, онда Category мәні жария, жеке және домендік желілерді ажыратады. Оны өңдеуге болады және қате жіберу оңай: адаптердің қазіргі қолтаңбасына сәйкес жазбаны өзгертуіңіз керек, бұрынғы мекенжай қалдырған ескі жазбаны емес. Ескірген жазба редакторда дұрыс көрінеді және қайта қосылу кезінде ештеңе істемейді.
Не істесеңіз де, әрбір белгісіз адаптерді «Жеке» ететін сценарийді таратпаңыз. Бұл сенімсіз сымсыз желіде анықтауды ашудың бір жолдық нұсқасы. Егер алмасу тек туннельдің ішкі желісімен ғана қажет болса, профильді «Жария» күйінде қалдырып, туннельдің қашықтағы мекенжай ауқымына шектелген кіріс ережелерін қосыңыз; брандмауэр ережесі санаттан тар.
Алмасуды тексеріңіз, белгіні емес
Өзгерістен кейін белгіге сенудің орнына ресурстың өзін сынап көріңіз:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleЕгер адаптер «Жеке» көрсетіп тұрса да алмасу сәтсіз болса, санат енді сіздің мәселеңіз емес. Атауды шешу, жетіспейтін маршрут немесе алмасу рұқсаттары сол симптомды береді, ал профильді тағы өзгерту олардың ешқайсын түзетпейді. Бір рет қайта қосылып, параметрдің сақталғанын растау үшін Get-NetConnectionProfile қайта іске қосыңыз, содан кейін қалған ақауды кәдімгі SMB мәселесі ретінде шешіңіз.
Тексеру тізімі: туннельдің басқарылатын жол екенін, профильдің қайта қосылуға төтеп беретінін, қажет жеке ережелердің бейнеде бар екенін және алмасудың шешіліп, 445 портында жауап беретінін растаңыз. Егер алғашқы үшеуінің кез келгені жалған болса, адаптерді «Жария» күйінде қалдырып, қатынас мәселесін шектелген ережемен шешіңіз.