Windows VPN адаптери жеке болушу керекпи же коомдукпу?
Үч текшерүү менен Windows VPN адаптеринин жеке профилге кирерин аныктаңыз: ишенимдүү жол, туруктуу классификация жана сизге чын эле керектүү эрежелер.
Windows VPN адаптерин «Жеке» абалына коюу корпоративдик туннел үчүн туура, ал эми коммерциялык VPN кардары үчүн туура эмес, жана айырма сырткы эмес. Тармак категориясы брандмауэр профилин тандайт, ошондуктан бир өзгөртүү бир эле учурда бүт эрежелер топтомун уруксат кылат. Мен кирүү скриптинин ар бир белгисиз адаптерди «Жеке» кылганын көрдүм, ал мейманкананын зымсыз тармагында файл бөлүшүүнү унчукпай ачып койду. Жоопту үч шарт аныктайт жана алардын баары параметрди кармоодон мурун аткарылышы керек.
Категория чындыгында эмнени аныктайт
Network Location Awareness ар бир туташкан тармак үчүн адаптер билдире алган маалыматтан кол тамга түзөт: шлюз дареги жана MAC, DNS кошумчасы, домен контроллеру жооп береби жана тармак интернетке жетеби. Windows ошол кол тамгага профиль байланыштырат, анан брандмауэр ошол профилдин эрежелер топтомун колдонот. Идентификация ийгиликсиз болгондо «Коомдук» камдык вариант болуп саналат, ошондуктан иштеп жаткан туннел дагы белгисиз тармак деп белгилениши мүмкүн.
TUN же TAP адаптери адатта идентификацияга өтө аз маалымат берет. Туннелдин шериги көбүнчө шлюз эмес, бир дарек, DNS туннелдин ичинде гана жиберилиши мүмкүн, ал эми адаптердин өзүнүн демейки маршруту жок. Пайда болгон белги брандмауэрдин киришин сүрөттөйт, туннелдин абалын эмес, ошондуктан VPN туташкан учурда жеке профилдин эрежелери дал келүүнү токтотот.
Биринчи шарт: туннель ишенимдүү жол
«Жеке» тандоо ушул интерфейс аркылуу жеткиликтүү бардык нерсе жок дегенде өз LAN тармагыңыздай ишенимдүү деп ырастайт, анткени аныктоо жана кирүү эрежелери бул ички тармакты жергиликтүү деп эсептейт. Файл серверлери жана принтерлери бар башкарылуучу ички тармакка корпоративдик туннел үчүн бул ырастоо адатта туура. Адаптер уюмуңуз көзөмөлдөгөн тармакка эшик, ал эми аркы беттеги машина сиздикини кабыл алган саясат менен кабыл алынган.
Коммерциялык VPN чыгымы бул текшерүүдөн өтпөйт. Башка абоненттер чыгуу ички тармагын бөлүшөт, аны «Жеке» деп белгилөө тармакты аныктоону, LLMNR жана NetBIOS ат чечүүнү бейтааныштарга толгон сегментке коёт. Бөлүнгөн туннель да ийгиликсиз болушу мүмкүн: адаптер бир колдонмого бир хост маршрутун ташыса, ишенимдүү ички тармак жөнүндө сүйлөшө турган эч нерсе жок жана категорияны өзгөртүү сизге эч нерсе бербейт.
Экинчи шарт: классификация кайра туташууларга туруштук берет
Жаңы шлюз же DNS кошумчасы жаңы кол тамга жаратат, Windows ага жаңы профиль чечимин кабыл алат. Ошондуктан бир жолку Set-NetConnectionProfile кийинки кайра туташууга чейин гана сакталат, түбөлүк эмес. Профилди биринчи туташуудан кийин эмес, кайра туташуудан кийин текшериңиз, анткени параметр так ошондо өзү кайтат.
Аны туруктуу кылуунун үч жолу бар. Эң тазасы — саясат: secpol.msc ачыңыз, Network List Manager Policies бөлүмүнө өтүп, тармак үчүн жайгашуу түрүн, анын ичинде белгисиз тармак саясатын белгилеңиз, ошондо профиль буйрук менен эмес, саясат менен колдонулат. Экинчиси — туннель көтөрүлгөндөн кийин PowerShell cmdlet иштетүүчү ар бир туташуу скрипти же пландалган тапшырма. Үчүнчүсү — идентификацияга текшерүү үчүн шлюз берүүчү эски маршрут амалы:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileМаршрут амалы — айланып өтүү, классификация эмес. Метрика катышы өзгөргөндө же VPN кардар кайра туташууда маршруттарды кайра жазганда бузулат жана экинчи демейки маршрутка түшкөн бардык нерсенин жол тандоосун унчукпай өзгөртөт.
Үчүнчү шарт: сизге жеке эрежелер топтому керек
«Жеке» адатта файл жана принтер бөлүшүүнү, тармакты аныктоону жана алыскы башкаруу топторун алып жүрөт. Эгер милдет туннель аркылуу SMB бөлүшүүгө же принтерге жетүү болсо, бул категорияны өзгөртүүнүн чыныгы себеби. Эгер милдет бир веб-колдонмого чыгуучу жетүү болсо, категория маанисиз: чыгуучу эрежени жазыңыз, «Коомдук» абалында калтырыңыз жана ошондо токтоңуз.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Таблицаны баштапкы чекит катары окуңуз, анан өз сүрөтүңүздө кайсы жеке эрежелер чын эле күйгүзүлгөнүн текшериңиз. Катууланган сүрөт файл бөлүшүүнү жеке профилден толугу менен алып салган болушу мүмкүн, андай учурда эрежени кайтармайынча категорияны өзгөртүү эч нерсе бербейт. Бул текшерүү бир буйрукка турат жана узун түштөн кийинки убакытты үнөмдөйт.
Калганын кеңейтпей өзгөртүү жасоо
Интерфейс индексин бутага алыңыз, универсал белгини эмес, жана тизмени мурун жана кийин окуңуз:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileСакталган профилдер реестрдеги NetworkList ачкычынын астында жашайт, анда Category мааниси коомдук, жеке жана домендик тармактарды ажыратат. Аны оңдоого болот жана ката кетирүү оңой: адаптердин учурдагы кол тамгасына дал келген жазууну өзгөртүүңүз керек, мурунку дарек калтырган эски жазууну эмес. Эскирген жазуу редактордо туура көрүнөт жана кайра туташууда эч нерсе кылбайт.
Эмне кылсаңыз да, ар бир белгисиз адаптерди «Жеке» кылган скрипти таратпаңыз. Бул ишенимсиз зымсыз тармакта аныктоону ачуунун бир саптуу версиясы. Эгер бөлүшүү туннелдин ички тармагы менен гана керек болсо, профилди «Коомдук» калтырып, туннелдин алыскы дарек диапазонуна чектелген кирүү эрежелерин кошуңуз; брандмауэр эрежеси категориядан тар.
Белгини эмес, бөлүшүүнү текшериңиз
Өзгөртүүдөн кийин белгиге ишенүүнүн ордуна ресурстун өзүн сынап көрүңүз:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleЭгер адаптер «Жеке» көрсөтүп турса да бөлүшүү ийгиликсиз болсо, категория эми сиздин маселеңиз эмес. Ат чечүү, жетишпеген маршрут же бөлүшүү уруксаттары ошол эле симптомду берет, ал эми профилди дагы өзгөртүү алардын эч бирин оңдой албайт. Бир жолу кайра туташып, параметрдин сакталганын ырастоо үчүн Get-NetConnectionProfile кайра иштетиңиз, анан калган бузулушту кадимки SMB маселеси катары чечиңиз.
Текшерүү тизмеси: туннел башкарылуучу жол экенин, профиль кайра туташууга туруштук берерин, керектүү жеке эрежелер сүрөттө бар экенин жана бөлүшүү чечилип, 445 портунда жооп берерин ырастаңыз. Эгер алгачкы үчөөнүн кайсы бири жалган болсо, адаптерди «Коомдук» калтырып, жетүү маселесин чектелген эреже менен чечиңиз.