Soll den Windows-VPN-Adapter privat oder öffentlech sinn?
Entscheet mat dräi Prüfungen, ob e Windows-VPN-Adapter zum private Profil gehéiert: vertrauenswürdegen Wee, stabil Klassifikatioun a Regelen, déi Dir wierklech braucht.
En Windows-VPN-Adapter op Privat ze stellen ass richteg fir en Firmentunnel a falsch fir en Handel-VPN-Client, an den Ënnerscheed ass net kosmetesch. D'Netzwierkkategorie wielt e Firewallprofil, sou datt eng Ännerung op eemol e ganzt Regelwierk erlaabt. Ech hunn e Loginscript gesinn, dat all net identifizéierten Adapter op Privat gesat huet, wat d'Dateifräigab an engem Hotel-WLAN stëll opgemaach huet. Dräi Bedéngungen entscheeden d'Äntwert, an all mussen erfëllt sinn, ier Dir d'Astellung beréiert.
Wat d'Kategorie tatsächlech entscheet
Network Location Awareness baut aus deem, wat den Adapter mellen kann, eng Ënnerschrëft fir all verbonnen Netzwierk: d'Gatewayadress an d'MAC, den DNS-Suffix, ob en Domaincontroller äntwert an ob d'Netzwierk d'Internet erreecht. Windows hänkt e Profil un dës Ënnerschrëft, an d'Firewall applizéiert duerno d'Regelwierk vun dësem Profil. Ëffentlech ass de Réckzuch, wann d'Identifikatioun feelt, dofir kann en funktionéierenden Tunnel nach ëmmer als net identifizéiert Netzwierk bezeechent ginn.
En TUN- oder TAP-Adapter gëtt der Identifikatioun meeschtens ganz wéineg un d'Hand. Den Tunnelpartner ass dacks eng eenzeg Adress amplaz vun engem Gateway, DNS gëtt vläicht nëmmen am Tunnel weidergeleet, an den Adapter huet keng eegen Standardroute. D'Etikett, déi entsteet, beschreift den Input vun der Firewall, net den Zoustand vum Tunnel, an dofir héieren Regelen vum private Profil op ze passen, soubal de VPN sech verbënnt.
Bedingung eent: den Tunnel ass de vertrauenswürdegen Wee
Privat ze wielen behaapt, datt alles, wat iwwer dës Schnëttstell erreechbar ass, op d'mannst esou vertrauenswürdeg ass wéi Ären eegene LAN, well Entdeckung an Inbound-Regelen dës Subnetz als lokal behandelen. Fir en Firmentunnel an eng geréiert Subnetz mat Dateiserveren an Dréckeren hält d'Behaaptung meeschtens. Den Adapter ass eng Dier an en Netzwierk, dat Är Organisatioun kontrolléiert, an de Rechner op der anerer Säit gouf vun der selwechter Politik ugeholl, déi Ären ugeholl huet.
En Handel-VPN-Ausgang besteet dës Prüfung net. Aner Abonnenten deelen d'Ausgangssubnetz, an et als Privat ze markéieren bréngt Netzwierkentdeckung, LLMNR an NetBIOS-Nummerevue an e Segment voller Friemen. Och Split-Tunneling kann feelen: wann den Adapter eng eenzeg Hostroute zu enger Applikatioun dréit, gëtt et keng vertrauenswürdeg Subnetz, vun där een schwätze kéint, an d'Kategorieännerung bréngt Iech näischt.
Bedingung zwee: d'Klassifikatioun iwwerlieft Reconnects
En neien Gateway oder DNS-Suffix produzéiert eng nei Ënnerschrëft, an Windows hëlt dofir eng frësch Profilentscheedung. En eenzegaartege Set-NetConnectionProfile hält also bis zum nächsten Reconnect, net éiweg. Kontrolléiert de Profil no engem Reconnect an net no der éischter Verbindung, well dann fällt d'Astellung vun selwer zréck.
Et gëtt dräi Weeër, dat dauerhaft ze maachen. Den proppersten ass Politik: öffnet secpol.msc, gitt op Network List Manager Policies an setzt den Uertstyp fir d'Netzwierk, inklusiv der Politik fir net identifizéiert Netzwierker, sou datt de Profil duerch Politik an net duerch e Kommando applizéiert gëtt. Den zweete ass e Script pro Verbindung oder eng geplangten Aufgab, déi de PowerShell-Cmdlet ausféiert, wann den Tunnel steet. Den drëtten ass den ale Routentrick, deen der Identifikatioun e Gateway zum Prüfen gëtt:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileDen Routentrick ass en Ëmwee, keng Klassifikatioun. En brécht, wann d'Metrikverhältnis sech ännert oder de VPN-Client beim Reconnect d'Route nei schréift, an en ännert stëll d'Pfadauswiel fir alles, wat op déi zweet Standardroute fällt.
Bedingung dräi: Dir braucht d'privat Regelwierk
Privat dréit normalerweis Datei- an Dréckerfräigab, Netzwierkentdeckung an d'Gruppe vun der Fernadministratioun. Wann d'Aufgab ass, eng SMB-Fräigab oder en Drécker duerch den Tunnel z'erreechen, ass dat de richtegen Grond, d'Kategorie z'änneren. Wann d'Aufgab en ausgehende Zougang zu enger Webapplikatioun ass, ass d'Kategorie irrelevant: schreift d'ausgehend Regel, behält Ëffentlech a stoppt do.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Liest d'Tabell als Ausgangspunkt an iwwerpréift dann, wéi eng privat Regelen an Ärem Image tatsächlech aktiv sinn. En gehärtent Image huet d'Dateifräigab vläicht komplett aus dem private Profil erausgeholl, an dann bréngt d'Kategorieännerung näischt, bis Dir d'Regel erëm derbäi setzt. Déi Prüfung kascht een Kommando a spuert en laangen Nomëtteg.
D'Ännerung maachen, ouni alles anescht auszeweiden
Zielt op den Interfaceindex, net op en Platzhalter, a liest d'Lëscht virun an duerno:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileGespäichert Profiler liewen ënner dem Schlëssel NetworkList an der Registrierung, wou de Wäert Category ëffentlech, privat an Domain-Netzwierker trennt. Et z'änneren ass méiglech an einfach falsch ze maachen: Dir musst dee Béitrag änneren, deen zur aktueller Ënnerschrëft vum Adapter passt, net e méi ale Béitrag, deen eng fréier Adress hannerlooss huet. En verale Béitrag gesäit am Editor richteg aus an doet beim Reconnect näischt.
Wat Dir och maacht, veröffentlicht kee Script, dat all net identifizéierten Adapter op Privat setzt. Dat ass d'Eenzeele-Versioun dovun, d'Entdeckung an ongeséchertem WLAN opzemaachen. Wann Dir d'Fräigab nëmme mat der Tunnelsubnetz braucht, behält de Profil Ëffentlech a füügt begrenzt Inbound-Regelen fir de Fernadressberäich vum Tunnel derbäi; d'Firewallregel ass méi schmuel wéi d'Kategorie.
Préift d'Fräigab, net d'Etikett
Test no der Ännerung d'Ressource selwer, amplaz dem Etikett ze vertrauen:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleWann d'Fräigab nach ëmmer feelt, wärend den Adapter Privat weist, ass d'Kategorie net méi Är Probleem. Nummerevue, eng fehlend Route oder Fräigabberechtegungen produzéieren déiselwecht Symptomer, an eng weider Profilännerung kann keng dovu reparéieren. Verbënnt Iech eemol nei a féiert Get-NetConnectionProfile nach eng Kéier aus, fir ze bestätegen, datt d'Astellung gehalen huet, a behandelt duerno de Reschtfehler als normale SMB-Probleem.
Checklëscht: bestätegt, datt den Tunnel e geréierte Wee ass, datt de Profil e Reconnect iwwerlieft, datt déi néideg privat Regelen am Image existéieren an datt d'Fräigab sech opléist an um Port 445 äntwert. Wann eng vun den éischten dräi falsch ass, loosst den Adapter op Ëffentlech a léist de Zougangsproblem mat enger begrenzter Regel.