Czy adapter VPN w Windows powinien być prywatny czy publiczny?
Zdecyduj za pomocą trzech testów, czy adapter VPN w Windows należy do profilu prywatnego: zaufana ścieżka, stabilna klasyfikacja i reguły, których naprawdę potrzebujesz.
Ustawienie adaptera VPN w Windows na Prywatny jest słuszne dla tunelu firmowego i błędne dla klienta komercyjnego VPN, a różnica nie jest kosmetyczna. Kategoria sieci wybiera profil zapory, więc jedna zmiana naraz przepuszcza cały zestaw reguł. Widziałem skrypt logowania, który każdy niezidentyfikowany adapter ustawiał na Prywatny, co po cichu odsłoniło udostępnianie plików w sieci bezprzewodowej hotelu. Odpowiedź rozstrzygają trzy warunki i wszystkie muszą być spełnione, zanim dotkniesz ustawienia.
Co kategoria faktycznie rozstrzyga
Network Location Awareness buduje podpis dla każdej połączonej sieci z tego, co adapter może zgłosić: adres bramy i MAC, przyrostek DNS, czy odpowiada kontroler domeny i czy sieć dociera do internetu. Windows przypisuje profil do tego podpisu, a zapora stosuje potem zestaw reguł tego profilu. Publiczny jest wariantem zapasowym, gdy identyfikacja się nie powiedzie, dlatego działający tunel nadal może być oznaczony jako sieć niezidentyfikowana.
Adapter TUN lub TAP zwykle daje identyfikacji bardzo mało informacji. Partner tunelu to często jeden adres, a nie brama, DNS może być przekazywany tylko wewnątrz tunelu, a adapter nie ma własnej trasy domyślnej. Powstała etykieta opisuje dane wejściowe zapory, a nie stan tunelu, i dlatego reguły profilu prywatnego przestają pasować w chwili, gdy VPN się łączy.
Warunek pierwszy: tunel jest zaufaną ścieżką
Wybór Prywatny twierdzi, że wszystko osiągalne przez ten interfejs jest co najmniej tak wiarygodne jak twoja własna sieć LAN, ponieważ wykrywanie i reguły przychodzące będą traktować tę podsieć jako lokalną. Dla tunelu firmowego do zarządzanej podsieci z serwerami plików i drukarkami to twierdzenie zwykle się utrzymuje. Adapter jest drzwiami do sieci kontrolowanej przez twoją organizację, a maszyna po drugiej stronie została dopuszczona przez te same zasady, które dopuściły twoją.
Komercyjne wyjście VPN nie przechodzi tego testu. Inni abonenci dzielą podsieć wyjściową, a oznaczenie jej jako Prywatny umieszcza wykrywanie sieci, LLMNR i rozwiązywanie nazw NetBIOS w segmencie pełnym obcych. Tunel dzielony też może zawieść: gdy adapter przenosi jedną trasę do hosta dla jednej aplikacji, nie ma żadnej zaufanej podsieci, o której można by mówić, a zmiana kategorii nic ci nie daje.
Warunek drugi: klasyfikacja przetrwa ponowne połączenia
Nowa brama lub przyrostek DNS tworzy nowy podpis, a Windows podejmuje dla niego nową decyzję o profilu. Jednorazowy Set-NetConnectionProfile trwa więc do następnego połączenia, nie wiecznie. Sprawdzaj profil po ponownym połączeniu, a nie po pierwszym, bo właśnie wtedy ustawienie samo wraca.
Są trzy sposoby, by uczynić to trwałym. Najczystszy to zasady: otwórz secpol.msc, przejdź do Network List Manager Policies i ustaw typ lokalizacji dla sieci, w tym zasady dla sieci niezidentyfikowanych, aby profil był stosowany przez zasady, a nie przez polecenie. Drugi to skrypt dla każdego połączenia lub zaplanowane zadanie, które uruchamia polecenie cmdlet programu PowerShell po podniesieniu tunelu. Trzeci to stary trik z trasą, który daje identyfikacji bramę do sprawdzenia:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileTrik z trasą to obejście, a nie klasyfikacja. Psuje się, gdy zmieni się relacja metryk lub klient VPN przepisze trasy przy ponownym połączeniu, i po cichu zmienia wybór ścieżki dla wszystkiego, co trafi na drugą trasę domyślną.
Warunek trzeci: potrzebujesz zestawu reguł prywatnych
Prywatny zwykle zawiera udostępnianie plików i drukarek, wykrywanie sieci i grupy administracji zdalnej. Jeśli zadaniem jest dotarcie do udziału SMB lub drukarki przez tunel, to jest prawdziwy powód zmiany kategorii. Jeśli zadaniem jest dostęp wychodzący do jednej aplikacji internetowej, kategoria jest nieistotna: napisz regułę wychodzącą, pozostaw Publiczny i na tym poprzestań.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Czytaj tabelę jako punkt wyjścia, a potem sprawdź, które reguły prywatne są faktycznie włączone w twoim obrazie. Utwardzony obraz mógł całkowicie usunąć udostępnianie plików z profilu prywatnego, a wtedy zmiana kategorii nic nie daje, dopóki nie przywrócisz reguły. To sprawdzenie kosztuje jedno polecenie i oszczędza długie popołudnie.
Zmiana bez rozszerzania wszystkiego innego
Celuj w indeks interfejsu, a nie w symbol wieloznaczny, i przeczytaj listę przed i po:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileZapisane profile żyją pod kluczem NetworkList w rejestrze, gdzie wartość Category oddziela sieci publiczne, prywatne i domenowe. Edycja jest możliwa i łatwo się pomylić: musisz zmienić wpis odpowiadający bieżącemu podpisowi adaptera, a nie starszy wpis pozostawiony przez poprzedni adres. Nieaktualny wpis wygląda w edytorze poprawnie i przy ponownym połączeniu nic nie robi.
Cokolwiek robisz, nie publikuj skryptu, który każdy niezidentyfikowany adapter ustawia na Prywatny. To jednolinijkowa wersja otwarcia wykrywania w niezaufanej sieci bezprzewodowej. Jeśli udostępnianie potrzebne jest tylko z podsiecią tunelu, pozostaw profil Publiczny i dodaj ograniczone reguły przychodzące dla zakresu adresów zdalnych tunelu; reguła zapory jest węższa niż kategoria.
Sprawdź udział, a nie etykietę
Po zmianie przetestuj sam zasób, zamiast ufać etykiecie:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleJeśli udział nadal zawodzi, gdy adapter pokazuje Prywatny, kategoria nie jest już twoim problemem. Rozwiązywanie nazw, brakująca trasa lub uprawnienia do udziału dadzą ten sam objaw, a kolejna zmiana profilu nie naprawi żadnego z nich. Połącz się ponownie raz i uruchom Get-NetConnectionProfile jeszcze raz, aby potwierdzić, że ustawienie się utrzymało, a potem potraktuj pozostały błąd jako zwykły problem SMB.
Lista kontrolna: potwierdź, że tunel jest zarządzaną ścieżką, profil przetrwa ponowne połączenie, potrzebne reguły prywatne istnieją w obrazie, a udział rozwiązuje się i odpowiada na porcie 445. Jeśli którykolwiek z pierwszych trzech jest fałszywy, pozostaw adapter na Publicznym i rozwiąż problem dostępu ograniczoną regułą.