Vai Windows VPN adapterim jābūt privātam vai publiskam?

Iestatīt Windows VPN adapteri uz privātu ir pareizi korporatīvam tunelim un nepareizi komerciāla VPN klientam, un atšķirība nav kosmētiska. Tīkla kategorija izvēlas ugunsmūra profilu, tāpēc viena izmaiņa uzreiz ielaiž visu noteikumu kopumu. Esmu redzējis pieteikšanās skriptu, kas katru neidentificēto adapteri iestatīja uz privātu, un tas klusi atklāja failu koplietošanu viesnīcas bezvadu tīklā. Atbildi nosaka trīs nosacījumi, un visiem jābūt izpildītiem, pirms aiztiekat iestatījumu.

Ko kategorija patiešām nosaka

Network Location Awareness katram pievienotajam tīklam veido parakstu no tā, ko adapters spēj ziņot: vārtejas adresi un MAC, DNS sufiksu, vai atbild domēna kontrolieris un vai tīkls sasniedz internetu. Windows piesaista profilu šim parakstam, un pēc tam ugunsmūris piemēro šī profila noteikumu kopumu. Publisks ir rezerves variants, kad identifikācija neizdodas, tāpēc strādājošs tunelis joprojām var būt apzīmēts kā neidentificēts tīkls.

TUN vai TAP adapters identifikācijai parasti dod ļoti maz informācijas. Tunela partneris bieži ir viena adrese, nevis vārteja, DNS var tikt pārsūtīts tikai tuneļa iekšienē, un adapterim nav savas noklusējuma maršruta. Iegūtais apzīmējums raksturo ugunsmūra ievadi, nevis tuneļa stāvokli, un tāpēc privātā profila noteikumi pārstāj sakrist tajā brīdī, kad VPN pievienojas.

Pirmais nosacījums: tunelis ir uzticamais ceļš

Izvēle privāts apliecina, ka viss, kas sasniedzams caur šo saskarni, ir vismaz tikpat uzticams kā jūsu LAN, jo atklāšana un ienākošie noteikumi šo apakštīklu uzskatīs par lokālu. Korporatīvam tunelim uz pārvaldītu apakštīklu ar failu serveriem un printeriem šis apgalvojums parasti ir patiess. Adapters ir durvis uz tīklu, ko kontrolē jūsu organizācija, un mašīna otrā pusē tika uzņemta ar to pašu politiku, kas uzņēma jūsējo.

Komerciāla VPN izeja šo pārbaudi neiztur. Citi abonenti dala izejas apakštīklu, un tā atzīmēšana par privātu novieto tīkla atklāšanu, LLMNR un NetBIOS nosaukumu izšķiršanu segmentā, kas pilns ar svešiniekiem. Arī sadalītais tunelis var neizturēt: kad adapters pārvadā vienu maršrutu uz vienu lietojumprogrammu, nav uzticama apakštīkla, un kategorijas maiņa neko nedod.

Otrais nosacījums: klasifikācija pārdzīvo atkārtotus savienojumus

Jauna vārteja vai DNS sufikss rada jaunu parakstu, un Windows tam pieņem jaunu profila lēmumu. Tāpēc vienreizējs Set-NetConnectionProfile saglabājas līdz nākamajam savienojumam, nevis mūžīgi. Pārbaudiet profilu pēc atkārtota savienojuma, nevis pēc pirmā, jo tieši tad iestatījums atgriežas pats no sevis.

Ir trīs veidi, kā to padarīt paliekošu. Vistīrākais ir politika: atveriet secpol.msc, dodieties uz Network List Manager Policies un iestatiet tīkla atrašanās vietas tipu, tostarp neidentificēta tīkla politiku, lai profils tiktu piemērots ar politiku, nevis komandu. Otrais ir skripts katram savienojumam vai ieplānots uzdevums, kas palaiž PowerShell cmdlet pēc tam, kad tunelis ir uzcēlies. Trešais ir vecais maršruta triks, kas identifikācijai dod vārteju pārbaudei:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Maršruta triks ir apiešana, nevis klasifikācija. Tas salūzt, kad mainās metrikas attiecība vai VPN klients atkārtota savienojuma laikā pārraksta maršrutus, un tas klusi maina ceļa izvēli visam, kas nonāk uz otro noklusējuma maršrutu.

Trešais nosacījums: jums nepieciešams privātais noteikumu kopums

Privātais parasti ietver failu un printeru koplietošanu, tīkla atklāšanu un attālās administrēšanas grupas. Ja uzdevums ir sasniegt SMB koplietojumu vai printeri caur tuneli, tas ir īstais iemesls mainīt kategoriju. Ja uzdevums ir izejoša piekļuve vienai tīmekļa lietojumprogrammai, kategorija nav svarīga: uzrakstiet izejošo noteikumu, paturiet publisku un apstājieties.

Lasiet tabulu kā sākumpunktu un pēc tam pārbaudiet, kuri privātie noteikumi jūsu attēlā patiešām ir iespējoti. Rūdīts attēls var būt pilnībā noņēmis failu koplietošanu no privātā profila, un tādā gadījumā kategorijas maiņa neko nepanāk, kamēr noteikumu neatgriežat. Šī pārbaude maksā vienu komandu un ietaupa garu pēcpusdienu.

Veikt izmaiņu, nepaplašinot visu pārējo

Mērķējiet uz saskarnes indeksu, nevis aizstājējzīmi, un izlasiet sarakstu pirms un pēc:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Saglabātie profili dzīvo zem reģistra NetworkList atslēgas, kur Category vērtība atdala publiskos, privātos un domēna tīklus. To rediģēt ir iespējams un viegli kļūdīties: jāmaina ieraksts, kas atbilst adapters pašreizējam parakstam, nevis vecāks ieraksts, ko atstājusi iepriekšējā adrese. Novecojis ieraksts redaktorā izskatās pareizi un atkārtotā savienojumā neko nedara.

Lai ko jūs darītu, neizplatiet skriptu, kas katru neidentificēto adapteri iestata uz privātu. Tā ir vienas rindas versija tam, kā atvērt atklāšanu neuzticamā bezvadu tīklā. Ja koplietošana nepieciešama tikai ar tuneļa apakštīklu, paturiet profilu publisku un pievienojiet ierobežotus ienākošos noteikumus tuneļa attālo adrešu diapazonam; ugunsmūra noteikums ir šaurāks par kategoriju.

Pārbaudiet koplietošanu, nevis apzīmējumu

Pēc izmaiņas pārbaudiet pašu resursu, nevis uzticieties apzīmējumam:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Ja koplietošana joprojām neizdodas, kamēr adapters rāda privātu, kategorija vairs nav jūsu problēma. Nosaukumu izšķiršana, trūkstošs maršruts vai koplietošanas atļaujas radīs tos pašus simptomus, un vēl viena profila maiņa nevar salabot nevienu no tiem. Vienreiz pievienojieties no jauna un atkal palaidiet Get-NetConnectionProfile, lai apstiprinātu, ka iestatījums ir saglabājies, pēc tam risiniet atlikušo kļūmi kā parastu SMB problēmu.

Kontrolsaraksts: apstipriniet, ka tunelis ir pārvaldīts ceļš, profils pārdzīvo atkārtotu savienojumu, nepieciešamie privātie noteikumi ir attēlā un koplietošana tiek atrisināta un atbild uz 445 portu. Ja kaut viens no pirmajiem trim ir nepatiess, atstājiet adapteri publisku un atrisiniet piekļuves problēmu ar ierobežotu noteikumu.