Windows VPN അഡാപ്റ്റർ സ്വകാര്യമായിരിക്കണോ പൊതുവായിരിക്കണോ?
മൂന്ന് പരിശോധനകളിലൂടെ Windows VPN അഡാപ്റ്റർ സ്വകാര്യ പ്രൊഫൈലിൽ വരുമോ എന്ന് തീരുമാനിക്കുക: വിശ്വസനീയ പാത, സ്ഥിരമായ വർഗ്ഗീകരണം, യഥാർത്ഥത്തിൽ ആവശ്യമുള്ള നിയമങ്ങൾ.
Windows VPN അഡാപ്റ്റർ സ്വകാര്യമാക്കി സജ്ജീകരിക്കുന്നത് കോർപ്പറേറ്റ് ടണലിന് ശരിയാണ്, വാണിജ്യ VPN ക്ലയന്റിന് തെറ്റാണ്, കൂടാതെ വ്യത്യാസം പുറമേയുള്ളതല്ല. നെറ്റ്വർക്ക് വിഭാഗം ഫയർവാൾ പ്രൊഫൈൽ തിരഞ്ഞെടുക്കുന്നു, അതിനാൽ ഒരു മാറ്റം ഒരേസമയം മുഴുവൻ നിയമക്കൂട്ടത്തേയും അനുവദിക്കുന്നു. ഓരോ തിരിച്ചറിയാത്ത അഡാപ്റ്ററിനേയും സ്വകാര്യമാക്കുന്ന ഒരു ലോഗിൻ സ്ക്രിപ്റ്റ് ഞാൻ കണ്ടിട്ടുണ്ട്, അത് ഹോട്ടലിലെ വയർലെസ് നെറ്റ്വർക്കിൽ ഫയൽ പങ്കിടൽ നിശബ്ദമായി വെളിപ്പെടുത്തി. മൂന്ന് വ്യവസ്ഥകളാണ് ഉത്തരം നിർണ്ണയിക്കുന്നത്, ക്രമീകരണത്തിൽ സ്പർശിക്കുന്നതിന് മുമ്പ് എല്ലാം ശരിയായിരിക്കണം.
വിഭാഗം യഥാർത്ഥത്തിൽ എന്താണ് നിർണ്ണയിക്കുന്നത്
Network Location Awareness ഓരോ ബന്ധിപ്പിച്ച നെറ്റ്വർക്കിനും അഡാപ്റ്ററിന് റിപ്പോർട്ട് ചെയ്യാൻ കഴിയുന്ന വിവരങ്ങളിൽ നിന്ന് ഒരു ഒപ്പ് നിർമ്മിക്കുന്നു: ഗേറ്റ്വേ വിലാസവും MAC-ഉം, DNS സഫിക്സ്, ഡൊമെയ്ൻ കൺട്രോളർ പ്രതികരിക്കുന്നുണ്ടോ എന്നതും നെറ്റ്വർക്ക് ഇന്റർനെറ്റിൽ എത്തുന്നുണ്ടോ എന്നതും. Windows ആ ഒപ്പിലേക്ക് ഒരു പ്രൊഫൈൽ ബന്ധിപ്പിക്കുന്നു, തുടർന്ന് ഫയർവാൾ ആ പ്രൊഫൈലിന്റെ നിയമക്കൂട്ടം പ്രയോഗിക്കുന്നു. തിരിച്ചറിയൽ പരാജയപ്പെടുമ്പോൾ പൊതുവാണ് പകരം, അതിനാൽ പ്രവർത്തിക്കുന്ന ടണലും തിരിച്ചറിയാത്ത നെറ്റ്വർക്ക് എന്ന് അടയാളപ്പെടുത്തപ്പെടാം.
TUN അല്ലെങ്കിൽ TAP അഡാപ്റ്റർ സാധാരണയായി തിരിച്ചറിയലിന് വളരെ കുറച്ച് വിവരങ്ങളേ നൽകുന്നുള്ളൂ. ടണലിലെ എതിർകക്ഷി പലപ്പോഴും ഗേറ്റ്വേയല്ല, ഒരു വിലാസമാണ്, DNS ടണലിനുള്ളിൽ മാത്രം അയക്കാം, അഡാപ്റ്ററിന് സ്വന്തമായി സ്ഥിര റൂട്ടില്ല. ലഭിക്കുന്ന ലേബൽ ഫയർവാളിന്റെ ഇൻപുട്ടിനെ വിവരിക്കുന്നു, ടണലിന്റെ ആരോഗ്യത്തെയല്ല, അതുകൊണ്ടാണ് VPN ബന്ധിപ്പിക്കുന്ന നിമിഷം സ്വകാര്യ പ്രൊഫൈൽ നിയമങ്ങൾ പൊരുത്തപ്പെടുന്നത് നിർത്തുന്നത്.
ആദ്യ വ്യവസ്ഥ: ടണൽ വിശ്വസനീയ പാതയാണ്
സ്വകാര്യ തിരഞ്ഞെടുക്കുന്നത് ഈ ഇന്റർഫേസിലൂടെ എത്താവുന്ന എല്ലാം കുറഞ്ഞത് സ്വന്തം LAN പോലെ വിശ്വസനീയമാണെന്ന് അവകാശപ്പെടുന്നു, കാരണം കണ്ടെത്തലും ഇൻബൗണ്ട് നിയമങ്ങളും ആ സബ്നെറ്റിനെ പ്രാദേശികമായി കണക്കാക്കും. ഫയൽ സെർവറുകളും പ്രിന്ററുകളും ഉള്ള മാനേജ്ഡ് സബ്നെറ്റിലേക്കുള്ള കോർപ്പറേറ്റ് ടണലിന് ഈ അവകാശവാദം സാധാരണയായി ശരിയാണ്. അഡാപ്റ്റർ നിങ്ങളുടെ സംഘടന നിയന്ത്രിക്കുന്ന നെറ്റ്വർക്കിലേക്കുള്ള വാതിലാണ്, മറുവശത്തുള്ള യന്ത്രം നിങ്ങളുടെതിനെ അനുവദിച്ച അതേ നയത്താൽ അനുവദിക്കപ്പെട്ടതാണ്.
വാണിജ്യ VPN എക്സിറ്റ് ഈ പരിശോധനയിൽ വിജയിക്കുന്നില്ല. മറ്റ് സബ്സ്ക്രൈബർമാർ എക്സിറ്റ് സബ്നെറ്റ് പങ്കിടുന്നു, അത് സ്വകാര്യമായി അടയാളപ്പെടുത്തുന്നത് നെറ്റ്വർക്ക് കണ്ടെത്തൽ, LLMNR, NetBIOS നാമ വിശകലനം എന്നിവ അപരിചിതരാൽ നിറഞ്ഞ സെഗ്മെന്റിലേക്ക് എത്തിക്കുന്നു. വിഭജിത ടണലും പരാജയപ്പെടാം: അഡാപ്റ്റർ ഒരു അപ്ലിക്കേഷനിലേക്കുള്ള ഒരു ഹോസ്റ്റ് റൂട്ട് മാത്രം വഹിക്കുമ്പോൾ സംസാരിക്കാൻ വിശ്വസനീയ സബ്നെറ്റില്ല, വിഭാഗം മാറ്റുന്നത് നിങ്ങൾക്ക് ഒന്നും നൽകുന്നില്ല.
രണ്ടാം വ്യവസ്ഥ: വർഗ്ഗീകരണം വീണ്ടും ബന്ധിപ്പിക്കലുകളിൽ നിലനിൽക്കുന്നു
പുതിയ ഗേറ്റ്വേ അല്ലെങ്കിൽ DNS സഫിക്സ് പുതിയ ഒപ്പ് ഉണ്ടാക്കുന്നു, Windows അതിന് പുതിയ പ്രൊഫൈൽ തീരുമാനം എടുക്കുന്നു. അതിനാൽ ഒറ്റത്തവണത്തെ Set-NetConnectionProfile അടുത്ത വീണ്ടും ബന്ധിപ്പിക്കൽ വരെ മാത്രം നിലനിൽക്കുന്നു, എന്നെന്നും അല്ല. ആദ്യ കണക്ഷന് ശേഷമല്ല, വീണ്ടും ബന്ധിപ്പിച്ചതിന് ശേഷം പ്രൊഫൈൽ പരിശോധിക്കുക, കാരണം അപ്പോഴാണ് ക്രമീകരണം സ്വയം തിരികെ വരുന്നത്.
ഇത് സ്ഥിരമാക്കാൻ മൂന്ന് വഴികളുണ്ട്. ഏറ്റവും വൃത്തിയായത് നയമാണ്: secpol.msc തുറന്ന്, Network List Manager Policies-ലേക്ക് പോയി, തിരിച്ചറിയാത്ത നെറ്റ്വർക്ക് നയം ഉൾപ്പെടെ നെറ്റ്വർക്കിന്റെ സ്ഥാന തരം സജ്ജീകരിക്കുക, അപ്പോൾ പ്രൊഫൈൽ കമാൻഡിലൂടെയല്ല, നയത്തിലൂടെ പ്രയോഗിക്കപ്പെടും. രണ്ടാമത്തത് ടണൽ ഉയർന്നതിന് ശേഷം PowerShell cmdlet പ്രവർത്തിപ്പിക്കുന്ന ഓരോ കണക്ഷനിലെയും സ്ക്രിപ്റ്റ് അല്ലെങ്കിൽ ഷെഡ്യൂൾ ചെയ്ത ടാസ്കാണ്. മൂന്നാമത്തത് തിരിച്ചറിയലിന് പരിശോധിക്കാൻ ഗേറ്റ്വേ നൽകുന്ന പഴയ റൂട്ട് തന്ത്രമാണ്:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileറൂട്ട് തന്ത്രം ഒരു വഴിത്തിരിവാണ്, വർഗ്ഗീകരണമല്ല. മെട്രിക് ബന്ധം മാറുമ്പോഴോ VPN ക്ലയന്റ് വീണ്ടും ബന്ധിപ്പിക്കുമ്പോൾ റൂട്ടുകൾ വീണ്ടും എഴുതുമ്പോഴോ അത് തകരുന്നു, രണ്ടാം സ്ഥിര റൂട്ടിലേക്ക് വീഴുന്ന എല്ലാറ്റിന്റെയും പാത തിരഞ്ഞെടുപ്പ് നിശബ്ദമായി മാറ്റുന്നു.
മൂന്നാം വ്യവസ്ഥ: സ്വകാര്യ നിയമക്കൂട്ടം ആവശ്യമാണ്
സ്വകാര്യത്തിൽ സാധാരണയായി ഫയൽ, പ്രിന്റർ പങ്കിടൽ, നെറ്റ്വർക്ക് കണ്ടെത്തൽ, ദൂരസ്ഥ അഡ്മിനിസ്ട്രേഷൻ ഗ്രൂപ്പുകൾ എന്നിവ ഉൾപ്പെടുന്നു. ജോലി ടണലിലൂടെ ഒരു SMB പങ്കിടലിലേക്കോ പ്രിന്ററിലേക്കോ എത്തുന്നതാണെങ്കിൽ, വിഭാഗം മാറ്റാനുള്ള യഥാർത്ഥ കാരണം അതാണ്. ജോലി ഒരു വെബ് അപ്ലിക്കേഷനിലേക്കുള്ള പുറത്തേക്കുള്ള ആക്സസ് ആണെങ്കിൽ വിഭാഗം അപ്രസക്തമാണ്: പുറത്തേക്കുള്ള നിയമം എഴുതി, പൊതുവായി നിലനിർത്തി, അവിടെ നിർത്തുക.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
പട്ടിക ആരംഭ പോയിന്റായി വായിക്കുക, തുടർന്ന് നിങ്ങളുടെ ഇമേജിൽ ഏതൊക്കെ സ്വകാര്യ നിയമങ്ങൾ യഥാർത്ഥത്തിൽ സജീവമാണെന്ന് പരിശോധിക്കുക. കഠിനമാക്കിയ ഇമേജ് സ്വകാര്യ പ്രൊഫൈലിൽ നിന്ന് ഫയൽ പങ്കിടൽ പൂർണ്ണമായും നീക്കം ചെയ്തിരിക്കാം, ആ സാഹചര്യത്തിൽ നിയമം തിരികെ ചേർക്കുന്നത് വരെ വിഭാഗം മാറ്റുന്നത് ഒന്നും നേടുന്നില്ല. ആ പരിശോധനയ്ക്ക് ഒരു കമാൻഡ് മതി, ഒരു നീണ്ട ഉച്ചകഴിഞ്ഞ് ലാഭിക്കാം.
ബാക്കിയെല്ലാം വിശാലമാക്കാതെ മാറ്റം വരുത്തുക
വൈൽഡ്കാർഡല്ല, ഇന്റർഫേസ് ഇൻഡെക്സ് ലക്ഷ്യമിടുക, പട്ടിക മുമ്പും പിന്നീടും വായിക്കുക:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileസംഭരിച്ച പ്രൊഫൈലുകൾ രജിസ്ട്രിയിലെ NetworkList കീയുടെ കീഴിൽ കഴിയുന്നു, അവിടെ Category മൂല്യം പൊതു, സ്വകാര്യ, ഡൊമെയ്ൻ നെറ്റ്വർക്കുകളെ വേർതിരിക്കുന്നു. അത് എഡിറ്റ് ചെയ്യാൻ കഴിയും, തെറ്റിക്കാൻ എളുപ്പവുമാണ്: അഡാപ്റ്ററിന്റെ നിലവിലെ ഒപ്പുമായി പൊരുത്തപ്പെടുന്ന എൻട്രി മാറ്റണം, മുൻ വിലാസം വിട്ടുപോയ പഴയ എൻട്രിയല്ല. കാലഹരണപ്പെട്ട എൻട്രി എഡിറ്ററിൽ ശരിയാണെന്ന് തോന്നും, വീണ്ടും ബന്ധിപ്പിക്കുമ്പോൾ ഒന്നും ചെയ്യില്ല.
എന്ത് ചെയ്താലും, എല്ലാ തിരിച്ചറിയാത്ത അഡാപ്റ്ററുകളേയും സ്വകാര്യമാക്കുന്ന സ്ക്രിപ്റ്റ് പുറത്തിറക്കരുത്. വിശ്വസനീയമല്ലാത്ത വയർലെസിൽ കണ്ടെത്തൽ തുറക്കുന്നതിന്റെ ഒരു വരി പതിപ്പാണത്. ടണലിന്റെ സബ്നെറ്റുമായി മാത്രം പങ്കിടൽ വേണമെങ്കിൽ, പ്രൊഫൈൽ പൊതുവായി വെച്ച്, ടണലിന്റെ ദൂരസ്ഥ വിലാസ ശ്രേണിയിൽ പരിമിതപ്പെടുത്തിയ ഇൻബൗണ്ട് നിയമങ്ങൾ ചേർക്കുക; ഫയർവാൾ നിയമം വിഭാഗത്തേക്കാൾ ഇടുങ്ങിയതാണ്.
ലേബലല്ല, പങ്കിടൽ പരിശോധിക്കുക
മാറ്റത്തിന് ശേഷം ലേബലിൽ വിശ്വസിക്കുന്നതിന് പകരം വിഭവം തന്നെ പരീക്ഷിക്കുക:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleഅഡാപ്റ്റർ സ്വകാര്യം കാണിക്കുമ്പോഴും പങ്കിടൽ പരാജയപ്പെട്ടാൽ, വിഭാഗം ഇനി നിങ്ങളുടെ പ്രശ്നമല്ല. നാമ വിശകലനം, കാണാത്ത റൂട്ട്, പങ്കിടൽ അനുമതികൾ എന്നിവ അതേ ലക്ഷണം ഉണ്ടാക്കും, പ്രൊഫൈൽ വീണ്ടും മാറ്റുന്നത് അവയിലൊന്നും ശരിയാക്കില്ല. ഒരിക്കൽ വീണ്ടും ബന്ധിപ്പിച്ച് ക്രമീകരണം നിലനിന്നുവെന്ന് ഉറപ്പാക്കാൻ Get-NetConnectionProfile വീണ്ടും പ്രവർത്തിപ്പിക്കുക, തുടർന്ന് ബാക്കിയുള്ള പരാജയം സാധാരണ SMB പ്രശ്നമായി കൈകാര്യം ചെയ്യുക.
പരിശോധനാ പട്ടിക: ടണൽ മാനേജ്ഡ് പാതയാണ്, പ്രൊഫൈൽ വീണ്ടും ബന്ധിപ്പിക്കലിൽ നിലനിൽക്കുന്നു, ആവശ്യമായ സ്വകാര്യ നിയമങ്ങൾ ഇമേജിൽ ഉണ്ട്, പങ്കിടൽ പരിഹരിക്കപ്പെട്ട് പോർട്ട് 445-ൽ പ്രതികരിക്കുന്നു എന്നിവ ഉറപ്പാക്കുക. ആദ്യത്തെ മൂന്നിൽ ഏതെങ്കിലും തെറ്റാണെങ്കിൽ, അഡാപ്റ്റർ പൊതുവായി വിട്ട് പരിമിതമായ നിയമം ഉപയോഗിച്ച് ആക്സസ് പ്രശ്നം പരിഹരിക്കുക.