Kvifor ein VPN-adapter stadig endar i arbeidsprofilen

Kopla til bedriftstunnelen, og den berebara maskina skiftar stille karakter. Fildeling stoppar, namneoppslag feilar, eit program som før lytta sluttar å lytta, og Innstillingar viser tilkoplinga som Arbeid eller Uidentifisert. Det finst tre måtar å feste den klassifiseringa på, og valet mellom dei avheng av om eininga er administrert, om etiketten held fram med å rulle tilbake og om noko faktisk treng oppdaging på den adapteren.

Kva etiketten faktisk styrer

Windows grupperer kvart nettverk i ein kategori og vel ein brannmurprofil ut frå han. Den offentlege profilen avviser inngåande deling, oppdaging og portane for filer og skrivarar før nokon regel du legg til i det heile blir vurdert, medan Privat tillèt meir. Program som sjekkar kategorien før dei eksponerer ei teneste, ser den same verdien.

Dette er eit policyval, ikkje ei ruteavgjerd. Ei adresse kan vere fullt ut tilgjengeleg og likevel bli avvist fordi den gjeldande profilen ikkje inneheld ein samsvarande regel, og ingen rutingreparasjon endrar det. To ulike spørsmål, to ulike verktøy. Å blande dei er den vanlegaste grunnen til at ei løysing ser ut til å verke og deretter sluttar.

Kategorien blir lagra per nettverk, og nettverket blir identifisert av ein signatur. På eit vanleg lokalt nett omfattar signaturen maskinvareadressa til standardgatewayen og DNS-suffikset til tilkoplinga, og ein VPN-adapter manglar vanlegvis begge. Ein svak signatur betyr at den same tunnelen kan sjå ut som eit nytt nettverk etter ein klientoppdatering.

Difor ser etiketten ut til å endre seg av seg sjølv. Windows er ikkje lunefull; det klarar ikkje å kjenne att tunnelen som nettverket det klassifiserte førre veke.

Tre vilkår som avgjer tilnærminga

Det første vilkåret er eigarskap. På ein administrert berebar maskin er innstillinga ofte låst, og ei lokal endring blir overstyrt ved neste policyoppdatering. Å kjempe mot det kostar ein ettermiddag; policyen er kanalen som blir støtta og den einaste som held.

Det andre vilkåret er gjentaking. Viss etiketten har rulla tilbake meir enn éin gong, blir verdien per nettverk bygd opp att frå ein signatur som er endra, og å redigere han på nytt vil ikkje halde. Policyverdiar ligg i ein eigen grein som overstyrer verdiane per brukar som Windows byggjer opp att kvar gong adapteren blir kopla til på nytt.

Det tredje vilkåret er behovet. Nokre miljø krev faktisk namneoppslag og oppdaging gjennom tunnelen, og dei vil ha smale brannmurreglar for bestemte adresser i staden for ein heil adapter flytta til Privat. Å byte kategori for å få éi teneste til å verke er korleis ein tunnel endar med å eksponere meir enn tiltenkt.

Svar på dei tre vilkåra, og valet tek seg sjølv. To som peikar på policy betyr policy, og éin som peikar på ein eingongstest betyr ei lokal endring du planlegg å forkaste.

Fest det, og les deretter av kva profil som gjeld

Lokal sikkerheitspolicy viser innstillinga under Retningslinjer for nettverkslista. Opne secpol.msc, utvid den noden, opne oppføringa for nettverket til tunnelen, set plasseringstypen til Offentleg og set brukartillatinga slik at plasseringa ikkje kan endrast. Desse innstillingane hamnar i greina Retningslinjer i same treet, og difor overstyrer dei verdiane per brukar som ei gjenoppkopling skriv over.

Offentleg er vanlegvis rett for ein VPN-adapter, fordi det blokkerer inngåande deling og oppdaging som standard. Det er det forsiktige valet for ein tunnel som kan hamne på eit ikkje-klarert segment, og han kan seinare lempast med bestemte reglar i staden for eit kategoribyte. Å utvide kategorien for å reparere éi teneste er ein handel du ikkje lett kan reversere. Ein regel blir fjerna på sekund.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Den første kommandoen rapporterer den gjeldande kategorien og ikkje den i dialogboksen, og det er verdien som avgjer brannmuratferda. Den andre stadfester at profilen som blir brukt er aktivert og kva for ein du faktisk støttar deg på.

Legg merke til kva paret ikkje bevisar. Ingen av kommandoane viser om ein bestemt inngåande regel finst, så ei teneste som framleis ikkje svarar treng ein regelkontroll i staden for nok ei kategorieendring.

Når symptomet ikkje er kategorien

Ein nettverksindikator kan henge etter tilkoplinga, og eldre Windows-versjonar hadde ein dokumentert feil der ein tvinga tunnel-VPN viste seg som Avgrensa medan trafikken flaut og pakka program nekta å bruke han. Indikatoren tok feil; tunnelen verka.

Så test det brukaren faktisk bryr seg om i staden for ikonet. Nå tenesta via adresse, deretter via namn og deretter gjennom programmet. Kvart trinn skil ruting, oppslag og programpolicy, og kategorien kjem først inn på brannmurtrinnet.

Viss kategorien er rett og tenesta framleis feilar, kontroller omfanget til reglane. Ein regel skriven for profilen Privat sluttar å samsvare i det augeblikket adapteren er Offentleg, og det er ein annan feil enn ein regel som aldri blei oppretta.

Noter den tiltenkte kategorien, om han blir handheva av policy og adressene som treng unntak. Den notaen svarar på neste rapport om forsvinnande delingar med eit faktum om profilar og omfang i staden for nok ein teori om tunnelen.

Avgjerda er lita, og konsekvensane er det ikkje. Ein kategori er ein brannmurveljar, og å behandle han som kosmetikk er korleis ei fungerande teneste blir eit mysterium.