Windows VPN 어댑터는 개인용이어야 할까요, 공용이어야 할까요?
세 가지 테스트로 Windows VPN 어댑터가 개인 프로필에 속하는지 결정하세요. 신뢰할 수 있는 경로, 안정적인 분류, 그리고 실제로 필요한 규칙입니다.
Windows VPN 어댑터를 개인으로 설정하는 것은 기업 터널에는 옳고 상용 VPN 클라이언트에는 틀리며, 그 차이는 겉모습이 아닙니다. 네트워크 범주가 방화벽 프로필을 선택하므로 한 번의 변경으로 규칙 집합 전체가 허용됩니다. 로그온 스크립트가 모든 미확인 어댑터를 개인으로 설정해 호텔 무선 네트워크에서 파일 공유가 조용히 노출된 사례를 본 적이 있습니다. 세 가지 조건이 답을 결정하며, 설정을 건드리기 전에 모두 성립해야 합니다.
범주가 실제로 결정하는 것
Network Location Awareness는 어댑터가 보고할 수 있는 정보, 즉 게이트웨이 주소와 MAC, DNS 접미사, 도메인 컨트롤러의 응답 여부, 네트워크의 인터넷 도달 여부로 연결된 각 네트워크의 서명을 만듭니다. Windows는 그 서명에 프로필을 연결하고, 방화벽은 해당 프로필의 규칙 집합을 적용합니다. 확인에 실패할 때 공용이 대체값이므로, 작동하는 터널도 여전히 확인되지 않은 네트워크로 표시될 수 있습니다.
TUN 또는 TAP 어댑터는 보통 확인 작업에 줄 정보가 거의 없습니다. 터널 상대는 게이트웨이가 아니라 단일 주소인 경우가 많고, DNS는 터널 내부로만 전달될 수 있으며, 어댑터 자체에는 기본 경로가 없습니다. 결과로 붙는 레이블은 방화벽 입력을 설명할 뿐 터널의 상태를 설명하지 않으며, VPN이 연결되는 순간 개인 프로필 규칙이 더 이상 일치하지 않는 이유가 바로 여기에 있습니다.
첫째 조건: 터널이 신뢰할 수 있는 경로인가
개인을 선택하는 것은, 검색과 인바운드 규칙이 그 서브넷을 로컬로 취급하기 때문에, 이 인터페이스로 도달할 수 있는 모든 것이 최소한 자신의 LAN만큼 신뢰할 수 있다고 주장하는 것입니다. 파일 서버와 프린터가 있는 관리형 서브넷으로 가는 기업 터널에서는 이 주장이 대개 성립합니다. 어댑터는 조직이 통제하는 네트워크로 들어가는 문이며, 반대편 기계는 자신의 기계를 허용한 것과 같은 정책으로 허용되었습니다.
상용 VPN 출구는 이 테스트를 통과하지 못합니다. 다른 가입자가 출구 서브넷을 공유하며, 이를 개인으로 표시하면 네트워크 검색, LLMNR, NetBIOS 이름 확인이 낯선 사람으로 가득한 세그먼트에 놓입니다. 분할 터널도, 어댑터가 하나의 애플리케이션으로 가는 단일 호스트 경로만 운반하면 신뢰할 서브넷이 없어 실패할 수 있고, 범주 변경은 아무것도 주지 않습니다.
둘째 조건: 분류가 재연결 후에도 유지되는가
새 게이트웨이나 DNS 접미사는 새 서명을 만들고, Windows는 그에 대해 새 프로필 결정을 내립니다. 따라서 일회성 Set-NetConnectionProfile은 다음 재연결까지만 유지되며 영원하지 않습니다. 설정이 스스로 되돌아가는 시점이 바로 그때이므로, 프로필은 첫 연결 후가 아니라 재연결 후에 확인하세요.
이를 영구화하는 방법은 세 가지입니다. 가장 깔끔한 것은 정책으로, secpol.msc을 열고 Network List Manager Policies로 이동하여 미확인 네트워크 정책을 포함한 네트워크 위치 유형을 설정하면 프로필이 명령이 아니라 정책으로 적용됩니다. 두 번째는 터널이 올라온 뒤 PowerShell cmdlet을 실행하는 연결별 스크립트 또는 예약 작업입니다. 세 번째는 확인 작업에 검사할 게이트웨이를 주는 오래된 경로 트릭입니다:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile경로 트릭은 우회 방법이지 분류가 아닙니다. 메트릭 관계가 바뀌거나 VPN 클라이언트가 재연결 시 경로를 다시 쓸 때 깨지며, 두 번째 기본 경로로 떨어지는 모든 것의 경로 선택을 조용히 바꿉니다.
셋째 조건: 개인 규칙 집합이 필요한가
개인에는 보통 파일 및 프린터 공유, 네트워크 검색, 원격 관리 그룹이 포함됩니다. 작업이 터널을 통해 SMB 공유나 프린터에 도달하는 것이라면, 그것이 범주를 바꾸는 실제 이유입니다. 작업이 하나의 웹 애플리케이션으로 나가는 액세스라면 범주는 무관하므로, 아웃바운드 규칙을 쓰고 공용을 유지한 뒤 거기서 멈추세요.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
표를 출발점으로 읽고, 그다음 자신의 빌드에서 어떤 개인 규칙이 실제로 활성화되어 있는지 확인하세요. 강화된 이미지는 개인 프로필에서 파일 공유를 완전히 제거했을 수 있으며, 그 경우 규칙을 되돌려 넣기 전까지는 범주 변경이 아무것도 달성하지 못합니다. 그 확인은 명령 하나면 되고 긴 오후를 아껴 줍니다.
나머지를 넓히지 않고 변경하기
와일드카드가 아니라 인터페이스 인덱스를 대상으로 하고, 목록을 전후로 읽으세요:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile저장된 프로필은 레지스트리의 NetworkList 키 아래에 있으며, Category 값이 공용, 개인, 도메인 네트워크를 구분합니다. 편집은 가능하지만 틀리기 쉽습니다: 어댑터의 현재 서명과 일치하는 항목을 바꿔야 하며, 이전 주소가 남긴 오래된 항목을 바꾸면 안 됩니다. 오래된 항목은 편집기에서 올바르게 보이지만 재연결 시 아무 일도 하지 않습니다.
모든 미확인 어댑터를 개인으로 설정하는 스크립트를 배포하는 것은 신뢰할 수 없는 무선 네트워크에서 검색을 여는 한 줄짜리 버전이므로, 무엇을 하든 피해야 합니다. 공유가 터널 서브넷에만 필요하다면 프로필을 공용으로 두고 터널의 원격 주소 범위로 제한된 인바운드 규칙을 추가하세요. 방화벽 규칙이 범주보다 좁습니다.
레이블이 아니라 공유를 검증하세요
변경 후에는 레이블을 믿지 말고 리소스 자체를 테스트하세요:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example어댑터가 개인을 표시하는데도 공유가 계속 실패하면 범주는 더 이상 문제가 아닙니다. 이름 확인, 누락된 경로, 공유 권한이 모두 같은 증상을 만들며, 프로필을 다시 바꿔도 그중 어느 것도 고칠 수 없습니다. 한 번 재연결하고 Get-NetConnectionProfile을 다시 실행해 설정이 유지되었는지 확인한 다음, 남은 장애를 일반적인 SMB 문제로 다루세요.
점검 목록: 터널이 관리형 경로인지, 프로필이 재연결 후에도 유지되는지, 필요한 개인 규칙이 이미지에 있는지, 공유가 확인되어 포트 445에서 응답하는지 확인하세요. 처음 세 가지 중 하나라도 거짓이면 어댑터를 공용으로 두고 제한된 규칙으로 액세스 문제를 해결하세요.