Windows-н VPN адаптер хувийн эсвэл нийтийн байх ёстой юу?

Windows VPN адаптерыг «Хувийн» болгох нь корпорацийн туннельд зөв, арилжааны VPN клиентэд буруу бөгөөд ялгаа нь гадаад төрх биш. Сүлжээний ангилал галт ханын профайлыг сонгодог тул нэг өөрчлөлт бүхэл дүрмийн багцыг нэгэн зэрэг нэвтрүүлдэг. Би нэвтрэх скрипт бүх танигдоогүй адаптерыг «Хувийн» болгодогийг харсан бөгөөд энэ нь зочид буудлын утасгүй сүлжээнд файл хуваалцалтыг чимээгүй ил гаргасан. Хариултыг гурван нөхцөл тодорхойлдог бөгөөд тохиргоог хүрэхээс өмнө бүгд биелэх ёстой.

Ангилал юу тодорхойлдог вэ

Network Location Awareness холбогдсон сүлжээ бүрт адаптерын мэдээлж чадах зүйлээс гарын үсэг үүсгэдэг: гарцын хаяг ба MAC, DNS дагавар, домэйн хянагч хариулж байгаа эсэх, сүлжээ интернетэд хүрч байгаа эсэх. Windows тэр гарын үсэгт профайл холбож, дараа нь галт хана тэр профайлын дүрмийн багцыг хэрэглэдэг. Танилт бүтэлгүйтэх үед «Нийтийн» нь нөөц хувилбар тул ажиллаж буй туннель ч танигдоогүй сүлжээ гэж тэмдэглэгдсэн хэвээр байж болно.

TUN эсвэл TAP адаптер ихэвчлэн танилтад маш бага мэдээлэл өгдөг. Туннелийн хамтрагч нь ихэвчлэн гарц биш, нэг хаяг байдаг, DNS зөвхөн туннелийн дотор дамжигдаж болох ба адаптер өөрийн гэсэн анхдагч маршрутгүй. Үүссэн шошго нь галт ханын оролтыг дүрсэлдэг, туннелийн байдлыг биш, тиймээс VPN холбогдох мөчид хувийн профайлын дүрмүүд тохирохоо болидог.

Нэгдүгээр нөхцөл: туннель бол итгэмжлэгдсэн зам

«Хувийн» сонгох нь энэ интерфэйсээр хүрэх боломжтой бүхэн өөрийн LAN-тай адил итгэмжлэгдсэн гэж мэдэгддэг, учир нь илрүүлэлт ба орж ирэх дүрмүүд тэр дэд сүлжээг орон нутгийн гэж үзнэ. Файлын сервер, хэвлэгчтэй удирдлагатай дэд сүлжээ рүү корпорацийн туннельд энэ мэдэгдэл ихэвчлэн зөв. Адаптер бол танай байгууллагын хянадаг сүлжээ рүү орох хаалга бөгөөд нөгөө талын машин таныхыг хүлээн зөвшөөрсөн бодлогоор хүлээн зөвшөөрөгдсөн.

Арилжааны VPN гарц энэ шалгалтад тэнцэхгүй. Бусад захиалагчид гарцын дэд сүлжээг хуваалцдаг бөгөөд түүнийг «Хувийн» гэж тэмдэглэх нь сүлжээний илрүүлэлт, LLMNR, NetBIOS нэрийн шийдлийг танихгүй хүмүүсээр дүүрэн сегментэд тавьдаг. Хуваасан туннель ч бүтэлгүйтэж болно: адаптер нэг аппликейшн рүү нэг хост маршрут зөөж байвал итгэмжлэгдсэн дэд сүлжээ байхгүй бөгөөд ангиллын өөрчлөлт танд юу ч өгөхгүй.

Хоёрдугаар нөхцөл: ангилал дахин холболтыг даван туулна

Шинэ гарц эсвэл DNS дагавар шинэ гарын үсэг үүсгэж, Windows түүнд шинэ профайлын шийдвэр гаргадаг. Тиймээс нэг удаагийн Set-NetConnectionProfile дараагийн дахин холболт хүртэл үргэлжилнэ, үүрд биш. Профайлыг эхний холболтын дараа биш, дахин холболтын дараа шалгаарай, учир нь тохиргоо яг тэр үед өөрөө буцаж ирдэг.

Үүнийг байнгын болгох гурван арга бий. Хамгийн цэвэр нь бодлого: secpol.msc нээж, Network List Manager Policies руу орж, сүлжээний байршлын төрлийг, үүний дотор танигдоогүй сүлжээний бодлогыг тохируулснаар профайл команд биш, бодлогоор хэрэгжинэ. Хоёр дахь нь туннель боссны дараа PowerShell cmdlet ажиллуулдаг холболт бүрийн скрипт эсвэл товлосон ажил. Гурав дахь нь танилтад шалгах гарц өгдөг хуучин маршрутын арга:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Маршрутын арга бол тойрч гарах зам, ангилал биш. Метрикийн харьцаа өөрчлөгдөх үед эсвэл VPN клиент дахин холболтын үед маршрутыг дахин бичих үед эвдэрдэг бөгөөд хоёр дахь анхдагч маршрут руу унах бүхний замын сонголтыг чимээгүй өөрчилдөг.

Гуравдугаар нөхцөл: танд хувийн дүрмийн багц хэрэгтэй

«Хувийн» нь ихэвчлэн файл ба хэвлэгчийн хуваалцалт, сүлжээний илрүүлэлт, алсын удирдлагын бүлгүүдийг агуулдаг. Хэрэв ажил нь туннелээр SMB хуваалцалт эсвэл хэвлэгч рүү хүрэх бол энэ нь ангиллыг өөрчлөх жинхэнэ шалтгаан. Хэрэв ажил нь нэг вэб аппликейшн рүү гарах хандалт бол ангилал хамаагүй: гарах дүрмийг бичээд, «Нийтийн»-г үлдээж, тэнд зогсоорой.

Хүснэгтийг эхлэх цэг болгон уншаад, дараа нь таны дүрс дээр ямар хувийн дүрмүүд үнэхээр идэвхтэй байгааг шалгаарай. Хатуужсан дүрс хувийн профайлаас файл хуваалцалтыг бүрмөсөн хассан байж болох бөгөөд тэр тохиолдолд дүрмийг буцааж нэмэх хүртэл ангиллын өөрчлөлт юу ч хүрэхгүй. Тэр шалгалт нэг команд үнэтэй бөгөөд урт үдээс хойшийг хэмнэдэг.

Бусад бүхнийг өргөжүүлэхгүйгээр өөрчлөлт хийх

Wildcard биш, интерфэйсийн индексийг онилж, жагсаалтыг өмнө болон дараа уншаарай:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Хадгалагдсан профайлууд бүртгэлийн NetworkList түлхүүрийн дор амьдардаг бөгөөд Category утга нь нийтийн, хувийн, домэйны сүлжээг тусгаарладаг. Үүнийг засах боломжтой бөгөөд алдаа гаргахад хялбар: адаптерын одоогийн гарын үсэгт тохирох бичлэгийг өөрчлөх ёстой, өмнөх хаягийн үлдээсэн хуучин бичлэгийг биш. Хуучирсан бичлэг засварлагч дээр зөв харагдах бөгөөд дахин холболтын үед юу ч хийдэггүй.

Юу ч хийсэн, бүх танигдоогүй адаптерыг «Хувийн» болгодог скриптийг түгээж болохгүй. Энэ нь итгэмжлэгдээгүй утасгүй сүлжээнд илрүүлэлтийг нээхийн нэг мөрийн хувилбар юм. Хуваалцалт зөвхөн туннелийн дэд сүлжээтэй хэрэгтэй бол профайлыг «Нийтийн» үлдээж, туннелийн алсын хаягийн мужид хязгаарлагдсан орж ирэх дүрмүүдийг нэмээрэй; галт ханын дүрэм ангиллаас нарийхан.

Шошгыг биш, хуваалцалтыг шалгаарай

Өөрчлөлтийн дараа шошгонд итгэхийн оронд нөөцийг өөрөө туршаарай:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Адаптер «Хувийн» харуулж байхад хуваалцалт бүтэлгүйтсээр байвал ангилал таны асуудал байхаа болино. Нэрийн шийдэл, дутуу маршрут эсвэл хуваалцалтын зөвшөөрөл ижил шинж тэмдэг үүсгэх бөгөөд профайлыг дахин өөрчлөх нь тэдгээрийн аль нэгийг ч засахгүй. Нэг удаа дахин холбогдож, тохиргоо хадгалагдсаныг батлахын тулд Get-NetConnectionProfile дахин ажиллуулаад, дараа нь үлдсэн эвдрэлийг энгийн SMB асуудал гэж шийдээрэй.

Шалгах хуудас: туннель удирдлагатай зам, профайл дахин холболтыг даван туулж байгаа, шаардлагатай хувийн дүрмүүд дүрс дээр байгаа, хуваалцалт шийдэгдэж 445 порт дээр хариулж байгааг батлаарай. Эхний гурвын аль нэг нь худал бол адаптерыг «Нийтийн» үлдээж, хязгаарлагдсан дүрмээр хандалтын асуудлыг шийдээрэй.