Patutkah Penyesuai VPN Windows Anda Bersifat Peribadi atau Awam?
Tentukan sama ada penyesuai VPN Windows tergolong dalam profil Peribadi dengan tiga ujian: laluan dipercayai, klasifikasi stabil dan peraturan yang benar-benar anda perlukan.
Menetapkan penyesuai VPN Windows kepada Peribadi adalah betul untuk terowong korporat dan salah untuk klien VPN komersial, dan perbezaannya bukan kosmetik. Kategori rangkaian memilih profil tembok api, jadi satu perubahan menerima keseluruhan set peraturan sekaligus. Saya pernah melihat skrip log masuk menetapkan setiap penyesuai tidak dikenali kepada Peribadi, yang secara senyap mendedahkan perkongsian fail pada rangkaian wayarles hotel. Tiga syarat menentukan jawapannya, dan semuanya mesti dipenuhi sebelum anda menyentuh tetapan itu.
Apa yang sebenarnya ditentukan oleh kategori
Network Location Awareness membina tandatangan untuk setiap rangkaian yang disambungkan daripada apa yang boleh dilaporkan oleh penyesuai: alamat get laluan dan MAC, akhiran DNS, sama ada pengawal domain menjawab dan sama ada rangkaian mencapai internet. Windows melampirkan profil kepada tandatangan itu, dan tembok api kemudian menggunakan set peraturan untuk profil tersebut. Awam ialah sandaran apabila pengenalpastian gagal, sebab itulah terowong yang berfungsi masih boleh dilabel sebagai rangkaian tidak dikenali.
Penyesuai TUN atau TAP biasanya memberikan sangat sedikit maklumat kepada pengenalpastian. Pasangan terowong selalunya satu alamat dan bukan get laluan, DNS mungkin hanya ditolak di dalam terowong, dan penyesuai tidak mempunyai laluan lalai sendiri. Label yang terhasil menerangkan input tembok api, bukan kesihatan terowong, dan itulah sebabnya peraturan profil peribadi berhenti sepadan pada saat VPN bersambung.
Syarat satu: terowong ialah laluan dipercayai
Memilih Peribadi mendakwa bahawa segala yang boleh dicapai melalui antara muka ini sekurang-kurangnya sama dipercayai seperti LAN anda sendiri, kerana penemuan dan peraturan masuk akan menganggap subnet itu sebagai setempat. Untuk terowong korporat ke subnet terurus dengan pelayan fail dan pencetak, dakwaan itu biasanya benar. Penyesuai ialah pintu ke rangkaian yang dikawal oleh organisasi anda, dan mesin di seberang telah diterima oleh dasar yang sama yang menerima mesin anda.
Keluaran VPN komersial gagal dalam ujian ini. Pelanggan lain berkongsi subnet keluar, dan menandakannya sebagai Peribadi meletakkan penemuan rangkaian, LLMNR dan penyelesaian nama NetBIOS pada segmen penuh orang asing. Terowong berpecah juga boleh gagal: apabila penyesuai membawa satu laluan hos ke satu aplikasi, tiada subnet dipercayai untuk diperkatakan, dan perubahan kategori tidak memberi anda apa-apa.
Syarat dua: klasifikasi bertahan selepas sambungan semula
Get laluan atau akhiran DNS baharu menghasilkan tandatangan baharu, dan Windows membuat keputusan profil baharu untuknya. Oleh itu Set-NetConnectionProfile sekali sahaja bertahan sehingga sambungan semula seterusnya, bukan selamanya. Periksa profil selepas sambungan semula dan bukan selepas sambungan pertama, kerana ketika itulah tetapan kembali dengan sendirinya.
Ada tiga cara untuk menjadikannya kekal. Yang paling bersih ialah dasar: buka secpol.msc, pergi ke Network List Manager Policies dan tetapkan jenis lokasi untuk rangkaian, termasuk dasar rangkaian tidak dikenali, supaya profil digunakan oleh dasar dan bukan arahan. Yang kedua ialah skrip bagi setiap sambungan atau tugas berjadual yang menjalankan cmdlet PowerShell selepas terowong naik. Yang ketiga ialah helah laluan lama, yang memberikan pengenalpastian get laluan untuk diperiksa:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileHelah laluan ialah jalan pintas, bukan klasifikasi. Ia rosak apabila hubungan metrik berubah atau klien VPN menulis semula laluan semasa sambungan semula, dan ia secara senyap menukar pemilihan laluan bagi apa sahaja yang jatuh ke laluan lalai kedua.
Syarat tiga: anda memerlukan set peraturan peribadi
Peribadi biasanya membawa Perkongsian Fail dan Pencetak, Penemuan Rangkaian dan kumpulan pentadbiran jauh. Jika tugasnya ialah mencapai perkongsian SMB atau pencetak melalui terowong, itulah sebab sebenar untuk menukar kategori. Jika tugasnya ialah akses keluar ke satu aplikasi web, kategorinya tidak relevan: tulis peraturan keluar, kekalkan Awam dan berhenti di situ.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Baca jadual sebagai titik permulaan, kemudian periksa peraturan peribadi mana yang benar-benar diaktifkan pada binaan anda. Imej yang dikeraskan mungkin telah membuang perkongsian fail sepenuhnya daripada profil peribadi, dan dalam hal itu perubahan kategori tidak mencapai apa-apa sehingga anda menambah semula peraturan itu. Pemeriksaan itu memerlukan satu arahan dan menjimatkan petang yang panjang.
Melakukan perubahan tanpa meluaskan segala yang lain
Sasarkan indeks antara muka, bukan aksara wildcard, dan baca senarai sebelum dan selepas:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileProfil tersimpan tinggal di bawah kunci NetworkList dalam registri, tempat nilai Category memisahkan rangkaian awam, peribadi dan domain. Mengeditnya mungkin dan mudah salah: anda mesti menukar entri yang sepadan dengan tandatangan semasa penyesuai, bukan entri lama yang ditinggalkan oleh alamat terdahulu. Entri usang kelihatan betul dalam editor dan tidak melakukan apa-apa semasa sambungan semula.
Apa pun yang anda lakukan, jangan keluarkan skrip yang menetapkan setiap penyesuai tidak dikenali kepada Peribadi. Itulah versi satu baris untuk membuka penemuan pada rangkaian wayarles yang tidak dipercayai. Jika anda hanya perlukan perkongsian dengan subnet terowong, kekalkan profil Awam dan tambah peraturan masuk terhad kepada julat alamat jauh terowong; peraturan tembok api lebih sempit daripada kategori.
Sahkan perkongsian, bukan label
Selepas perubahan, uji sumber itu sendiri dan bukan mempercayai label:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleJika perkongsian masih gagal sementara penyesuai menunjukkan Peribadi, kategorinya bukan lagi masalah anda. Penyelesaian nama, laluan yang hilang atau kebenaran perkongsian akan menghasilkan simptom yang sama, dan menukar profil sekali lagi tidak dapat membaiki mana-mana daripadanya. Sambung semula sekali dan jalankan Get-NetConnectionProfile semula untuk mengesahkan tetapan itu kekal, kemudian tangani kegagalan yang tinggal sebagai masalah SMB biasa.
Senarai semak: sahkan terowong ialah laluan terurus, profil bertahan selepas sambungan semula, peraturan peribadi yang diperlukan wujud pada imej dan perkongsian diselesaikan serta menjawab pada port 445. Jika mana-mana daripada tiga yang pertama adalah palsu, biarkan penyesuai pada Awam dan selesaikan masalah akses dengan peraturan terhad.