Ar „Windows“ VPN adapteris turi būti privatus ar viešas?
Trijų testų pagalba nuspręskite, ar „Windows“ VPN adapteris priklauso privačiam profiliui: patikimas kelias, stabili klasifikacija ir taisyklės, kurių iš tikrųjų reikia.
Nustatyti „Windows“ VPN adapterį kaip privatų yra teisinga įmonės tuneliui ir neteisinga komercinio VPN klientui, o skirtumas nėra kosmetinis. Tinklo kategorija parenka ugniasienės profilį, todėl vienas pakeitimas iš karto įleidžia visą taisyklių rinkinį. Mačiau prisijungimo scenarijų, kuris kiekvieną neatpažintą adapterį nustatė kaip privatų, ir tai tyliai atvėrė failų bendrinimą viešbučio belaidžiame tinkle. Atsakymą lemia trys sąlygos, ir visos turi būti įvykdytos prieš liečiant nuostatą.
Ką kategorija iš tikrųjų lemia
Network Location Awareness kiekvienam prijungtam tinklui sukuria parašą iš to, ką adapteris gali pranešti: šliuzo adresą ir MAC, DNS priesagą, ar atsako domeno valdiklis ir ar tinklas pasiekia internetą. „Windows“ susieja profilį su tuo parašu, o ugniasienė taiko to profilio taisyklių rinkinį. Viešas yra atsarginis variantas, kai identifikacija nepavyksta, todėl veikiantis tunelis vis tiek gali būti pažymėtas kaip neatpažintas tinklas.
TUN arba TAP adapteris identifikacijai paprastai duoda labai mažai informacijos. Tunelio partneris dažnai yra vienas adresas, o ne šliuzas, DNS gali būti perduodamas tik tunelio viduje, o adapteris neturi savo numatytojo maršruto. Gauta žymė apibūdina ugniasienės įvestį, o ne tunelio būklę, ir būtent todėl privačiojo profilio taisyklės nustoja atitikti tą akimirką, kai prisijungia VPN.
Pirmoji sąlyga: tunelis yra patikimas kelias
Pasirinkimas „privatus“ teigia, kad viskas, kas pasiekiama per šią sąsają, yra bent jau tokia pat patikima kaip jūsų LAN, nes aptikimas ir įeinančios taisyklės tą potinklį laikys vietiniu. Įmonės tuneliui į valdomą potinklį su failų serveriais ir spausdintuvais šis teiginys paprastai galioja. Adapteris yra durys į tinklą, kurį kontroliuoja jūsų organizacija, o mašina kitoje pusėje buvo priimta tos pačios politikos, kuri priėmė jūsiškę.
Komercinio VPN išėjimas šio testo nepraeina. Kiti abonentai dalijasi išėjimo potinkliu, o jo žymėjimas privačiu aptikimą, LLMNR ir NetBIOS vardų sprendimą perkelia į segmentą, pilną nepažįstamųjų. Skirstytasis tunelis taip pat gali nepraeiti: kai adapteris neša vieną maršrutą į vieną programą, nėra jokio patikimo potinklio, ir kategorijos pakeitimas nieko neduoda.
Antroji sąlyga: klasifikacija išlieka po pakartotinių prisijungimų
Naujas šliuzas ar DNS priesaga sukuria naują parašą, ir „Windows“ priima naują profilio sprendimą. Todėl vienkartinis Set-NetConnectionProfile išlieka iki kito prisijungimo, o ne amžinai. Tikrinkite profilį po pakartotinio prisijungimo, o ne po pirmojo, nes būtent tada nuostata savaime grįžta.
Yra trys būdai tai padaryti ilgaamžį. Švariausias yra politika: atidarykite secpol.msc, eikite į Network List Manager Policies ir nustatykite tinklo vietos tipą, įskaitant neatpažinto tinklo politiką, kad profilis būtų taikomas politikos, o ne komandos. Antrasis yra scenarijus kiekvienam prisijungimui arba suplanuota užduotis, kuri paleidžia PowerShell cmdlet, kai tunelis pakyla. Trečiasis yra senasis maršruto triukas, suteikiantis identifikacijai šliuzą patikrinti:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileMaršruto triukas yra apėjimas, o ne klasifikacija. Jis lūžta, kai pasikeičia metrikų santykis arba VPN klientas prisijungdamas perrašo maršrutus, ir tyliai pakeičia kelio pasirinkimą viskam, kas patenka į antrąjį numatytąjį maršrutą.
Trečioji sąlyga: jums reikia privačiojo taisyklių rinkinio
Privatusis paprastai apima failų ir spausdintuvų bendrinimą, tinklo aptikimą ir nuotolinio administravimo grupes. Jei užduotis yra pasiekti SMB bendrinimą arba spausdintuvą per tunelį, tai ir yra tikroji priežastis keisti kategoriją. Jei užduotis yra išeinanti prieiga prie vienos žiniatinklio programos, kategorija nesvarbi: parašykite išeinančią taisyklę, palikite viešą ir sustokite.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Skaitykite lentelę kaip atspirties tašką, tada patikrinkite, kurios privačiosios taisyklės jūsų atvaizde tikrai įjungtos. Sukietintas atvaizdas galėjo visiškai pašalinti failų bendrinimą iš privačiojo profilio, ir tokiu atveju kategorijos pakeitimas nieko nepasieks, kol nepridėsite taisyklės atgal. Ši patikra kainuoja vieną komandą ir sutaupo ilgą popietę.
Pakeitimą atlikti neišplečiant viso kito
Taikykitės į sąsajos indeksą, o ne į pakaitos simbolį, ir perskaitykite sąrašą prieš ir po:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileIšsaugoti profiliai gyvena registro NetworkList rakte, kur Category reikšmė atskiria viešus, privačius ir domeno tinklus. Jį redaguoti galima ir lengva suklysti: turite pakeisti įrašą, atitinkantį dabartinį adapterio parašą, o ne senesnį įrašą, paliktą ankstesnio adreso. Pasenęs įrašas redaktoriuje atrodo teisingai ir prisijungus nieko nedaro.
Kad ir ką darytumėte, neplatinkite scenarijaus, kuris kiekvieną neatpažintą adapterį nustato kaip privatų. Tai vienos eilutės versija to, kaip atverti aptikimą nepatikimame belaidžiame tinkle. Jei bendrinimo reikia tik su tunelio potinkliu, palikite profilį viešą ir pridėkite apribotas įeinančias taisykles tunelio nuotolinių adresų diapazonui; ugniasienės taisyklė siauresnė už kategoriją.
Tikrinkite bendrinimą, o ne žymę
Po pakeitimo išbandykite patį išteklių, o ne pasitikėkite žyme:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleJei bendrinimas vis dar nepavyksta, nors adapteris rodo privatų, kategorija nebėra jūsų problema. Vardų sprendimas, trūkstamas maršrutas ar bendrinimo teisės sukels tuos pačius simptomus, o dar vienas profilio pakeitimas negali pataisyti nė vieno iš jų. Prisijunkite dar kartą ir paleiskite Get-NetConnectionProfile iš naujo, kad patvirtintumėte, jog nuostata išliko, tada spręskite likusį gedimą kaip įprastą SMB problemą.
Kontrolinis sąrašas: patvirtinkite, kad tunelis yra valdomas kelias, profilis išlieka po pakartotinio prisijungimo, reikiamos privačiosios taisyklės yra atvaizde ir bendrinimas išsprendžiamas bei atsako 445 prievade. Jei bent viena iš pirmųjų trijų yra neteisinga, palikite adapterį viešą ir išspręskite prieigos problemą apribota taisykle.