Hvorfor en VPN-adapter stadig havner i arbeidsprofilen

Koble til bedriftstunnelen, og den bærbare maskinen skifter stille karakter. Fildeling stopper, navneoppslag feiler, et program som pleide å lytte slutter å lytte, og Innstillinger viser tilkoblingen som Arbeid eller Uidentifisert. Det finnes tre måter å feste den klassifiseringen på, og valget mellom dem avhenger av om enheten er administrert, om etiketten fortsetter å rulle tilbake og om noe faktisk trenger oppdaging på den adapteren.

Hva etiketten faktisk styrer

Windows grupperer hvert nettverk i en kategori og velger en brannmurprofil ut fra den. Den offentlige profilen avviser inngående deling, oppdaging og portene for filer og skrivere før noen regel du legger til i det hele tatt blir vurdert, mens Privat tillater mer. Programmer som sjekker kategorien før de eksponerer en tjeneste, ser den samme verdien.

Dette er et policyvalg, ikke en rutebeslutning. En adresse kan være fullt ut tilgjengelig og likevel bli avvist fordi den gjeldende profilen ikke inneholder en samsvarende regel, og ingen rutingreparasjon endrer det. To forskjellige spørsmål, to forskjellige verktøy. Å blande dem er den vanligste grunnen til at en løsning ser ut til å virke og deretter slutter.

Kategorien lagres per nettverk, og nettverket identifiseres av en signatur. På et vanlig lokalnett omfatter signaturen standardgatewayens maskinvareadresse og tilkoblingens DNS-suffiks, og en VPN-adapter mangler vanligvis begge. En svak signatur betyr at den samme tunnelen kan se ut som et nytt nettverk etter en klientoppdatering.

Derfor ser etiketten ut til å endre seg av seg selv. Windows er ikke lunefull; det klarer ikke å kjenne igjen tunnelen som nettverket det klassifiserte forrige uke.

Tre vilkår som avgjør tilnærmingen

Det første vilkåret er eierskap. På en administrert bærbar maskin er innstillingen ofte låst, og en lokal endring blir overskrevet ved neste policyoppdatering. Å kjempe mot det koster en ettermiddag; policyen er kanalen som støttes og den eneste som holder.

Det andre vilkåret er gjentakelse. Hvis etiketten har rullet tilbake mer enn én gang, blir verdien per nettverk bygget opp igjen fra en signatur som er endret, og å redigere den på nytt vil ikke holde. Policyverdier ligger i en egen gren som overstyrer verdiene per bruker som Windows bygger opp igjen hver gang adapteren kobles til på nytt.

Det tredje vilkåret er behovet. Noen miljøer krever faktisk navneoppslag og oppdaging gjennom tunnelen, og de vil ha smale brannmurregler for bestemte adresser i stedet for en hel adapter flyttet til Privat. Å bytte kategori for å få én tjeneste til å virke er hvordan en tunnel ender med å eksponere mer enn tiltenkt.

Svar på de tre vilkårene, og valget tar seg selv. To som peker på policy betyr policy, og én som peker på en engangstest betyr en lokal endring du planlegger å forkaste.

Fest det, og les deretter av hvilken profil som gjelder

Lokal sikkerhetspolicy viser innstillingen under Retningslinjer for nettverkslisten. Åpne secpol.msc, utvid den noden, åpne oppføringen for tunnelens nettverk, sett plasseringstypen til Offentlig og sett brukertillatelsen slik at plasseringen ikke kan endres. Disse innstillingene havner i grenen Retningslinjer i samme tre, og derfor overstyrer de verdiene per bruker som en gjenoppkobling skriver over.

Offentlig er vanligvis riktig for en VPN-adapter, fordi det blokkerer inngående deling og oppdaging som standard. Det er det forsiktige valget for en tunnel som kan havne på et ikke-klarert segment, og den kan senere lempes med bestemte regler i stedet for et kategoribytte. Å utvide kategorien for å reparere én tjeneste er en handel du ikke lett kan reversere. En regel fjernes på sekunder.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Den første kommandoen rapporterer den gjeldende kategorien og ikke den i dialogboksen, og det er verdien som avgjør brannmuratferden. Den andre bekrefter at profilen som brukes er aktivert og hvilken du faktisk støtter deg på.

Legg merke til hva paret ikke beviser. Ingen av kommandoene viser om en bestemt inngående regel finnes, så en tjeneste som fortsatt ikke svarer trenger en regelkontroll i stedet for nok en kategorieendring.

Når symptomet ikke er kategorien

En nettverksindikator kan henge etter tilkoblingen, og eldre Windows-versjoner hadde en dokumentert feil der en tvungen tunnel-VPN viste seg som Begrenset mens trafikken fløt og pakkede programmer nektet å bruke den. Indikatoren tok feil; tunnelen virket.

Så test det brukeren faktisk bryr seg om i stedet for ikonet. Nå tjenesten via adresse, deretter via navn og deretter gjennom programmet. Hvert trinn skiller ruting, oppslag og programpolicy, og kategorien kommer først inn på brannmurtrinnet.

Hvis kategorien er riktig og tjenesten fortsatt feiler, kontroller reglenes omfang. En regel skrevet for profilen Privat slutter å samsvare i det øyeblikket adapteren er Offentlig, og det er en annen feil enn en regel som aldri ble opprettet.

Noter den tiltenkte kategorien, om den håndheves av policy og adressene som trenger unntak. Den notatet besvarer neste rapport om forsvinnende delinger med et faktum om profiler og omfang i stedet for nok en teori om tunnelen.

Beslutningen er liten, og konsekvensene er det ikke. En kategori er en brannmurvelger, og å behandle den som kosmetikk er hvordan en fungerende tjeneste blir et mysterium.