Дали VPN адаптерот во Windows треба да биде приватен или јавен?
Одлучете со три проверки дали VPN адаптерот во Windows припаѓа на приватниот профил: доверена патека, стабилна класификација и правила што навистина ви требаат.
Поставувањето на VPN адаптерот во Windows на Приватно е точно за корпоративен тунел и погрешно за клиент на комерцијален VPN, а разликата не е козметичка. Мрежната категорија избира профил на огнениот ѕид, па една промена одеднаш пушта цел сет правила. Видов скрипта за најавување што секој неидентификуван адаптер го поставува на Приватно, што тивко го откри споделувањето датотеки на хотелска безжична мрежа. Одговорот го одредуваат три услови и сите мора да важат пред да ја допрете поставката.
Што всушност одредува категоријата
Network Location Awareness гради потпис за секоја поврзана мрежа од она што адаптерот може да го пријави: адресата на портата и MAC, DNS-суфиксот, дали одговара контролер на домен и дали мрежата стигнува до интернет. Windows прикачува профил на тој потпис, а потоа огнениот ѕид го применува сетот правила за тој профил. Јавно е резервната опција кога идентификацијата не успева, затоа работен тунел сепак може да остане означен како неидентификувана мрежа.
TUN или TAP адаптер обично ѝ дава многу малку информации на идентификацијата. Противникот во тунелот често е една адреса наместо порта, DNS може да се праќа само внатре во тунелот, а адаптерот нема своја стандардна рута. Добиената ознака го опишува влезот на огнениот ѕид, не здравствената состојба на тунелот, и токму затоа правилата на приватниот профил престануваат да се совпаѓаат во мигот кога VPN се поврзува.
Прв услов: тунелот е доверената патека
Изборот Приватно тврди дека сето она што е достапно преку овој интерфејс е барем исто толку доверливо како вашата LAN, бидејќи откривањето и влезните правила ќе го третираат тој подмрежа како локална. За корпоративен тунел кон управувана подмрежа со датотечни сервери и печатачи, тврдењето обично важи. Адаптерот е врата кон мрежа што ја контролира вашата организација, а машината од другата страна е примена со истата политика што ја прими вашата.
Излезот на комерцијален VPN не ја поминува оваа проверка. Други претплатници ја делат излезната подмрежа, а нејзиното означување како Приватно го става откривањето на мрежата, LLMNR и резолуцијата на имиња NetBIOS на сегмент полн со странци. И разделениот тунел може да не помине: кога адаптерот носи една рута до еден домаќин кон една апликација, нема доверена подмрежа за разговор, и промената на категоријата не ви дава ништо.
Втор услов: класификацијата преживува повторни поврзувања
Нова порта или DNS-суфикс создава нов потпис, а Windows носи нова одлука за профилот. Затоа еднократниот Set-NetConnectionProfile трае до следното поврзување, не засекогаш. Проверете го профилот по повторно поврзување, а не по првото, бидејќи тогаш поставката се враќа сама.
Има три начини да го направите трајно. Најчистиот е политика: отворете secpol.msc, одете во Network List Manager Policies и поставете тип на локација за мрежата, вклучително и политиката за неидентификувана мрежа, за да се применува профилот преку политика, а не преку команда. Вториот е скрипта за секое поврзување или закажана задача што ја извршува PowerShell cmdlet-ата откако тунелот ќе се подигне. Третиот е стариот трик со рута, што ѝ дава на идентификацијата порта за проверка:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileТрикот со рута е заобиколување, не класификација. Се крши кога ќе се промени односот на метриките или кога VPN клиентот ги препишува рутите при повторно поврзување, и тивко го менува изборот на патека за сето она што ќе падне на втората стандардна рута.
Трет услов: ви треба приватниот сет правила
Приватно обично носи споделување датотеки и печатачи, откривање на мрежата и групите за далечинско управување. Ако задачата е да се стигне до SMB споделување или печатач низ тунелот, тоа е вистинската причина да ја смените категоријата. Ако задачата е излезен пристап до една веб-апликација, категоријата е неважна: напишете го излезното правило, оставете Јавно и запрете таму.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Читајте ја табелата како почетна точка, потоа проверете кои приватни правила се навистина овозможени на вашата слика. Зајакната слика може целосно да го отстранила споделувањето датотеки од приватниот профил, и тогаш промената на категоријата не постигнува ништо додека не го вратите правилото. Таа проверка чини една команда и штеди долго попладне.
Промена без проширување на другото
Целете го индексот на интерфејсот, а не џокер знак, и прочитајте ја листата пред и потоа:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileЗачуваните профили живеат под клучот NetworkList во регистарот, каде вредноста Category ги одвојува јавните, приватните и доменските мрежи. Уредувањето е можно и лесно се греши: мора да го смените записот што одговара на тековниот потпис на адаптерот, а не постар запис оставен од претходна адреса. Застарен запис изгледа точно во уредувачот и не прави ништо при повторно поврзување.
Што и да правите, не испраќајте скрипта што секој неидентификуван адаптер го поставува на Приватно. Тоа е едноредната верзија на отворање на откривањето на недоверлива безжична мрежа. Ако споделување ви треба само со подмрежата на тунелот, оставете го профилот Јавно и додадете ограничени влезни правила за опсегот далечински адреси на тунелот; правилото на огнениот ѕид е потесно од категоријата.
Проверете го споделувањето, не ознаката
По промената тестирајте го самиот ресурс наместо да ѝ верувате на ознаката:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleАко споделувањето и понатаму не успева додека адаптерот покажува Приватно, категоријата веќе не е ваш проблем. Резолуцијата на имиња, рута што недостасува или дозволите за споделување ќе го дадат истиот симптом, и уште една промена на профилот не може да поправи ниту еден од нив. Поврзете се повторно еднаш и повторно извршете Get-NetConnectionProfile за да потврдите дека поставката се задржала, потоа третирајте го остатокот од дефектот како обичен SMB проблем.
Контролна листа: потврдете дека тунелот е управувана патека, профилот преживува повторно поврзување, потребните приватни правила постојат на сликата и споделувањето се резолвира и одговара на порта 445. Ако било кое од првите три е неточно, оставете го адаптерот на Јавно и решете го проблемот со пристап со ограничено правило.