Nieznana sieć na adapterze VPN w Windows: co to oznacza

Windows pokazuje Nieznana sieć dla każdego interfejsu, którego nie potrafi zaklasyfikować do lokalizacji, a adapter VPN jest typowym kandydatem, ponieważ często nie ma własnej bramy domyślnej. Etykieta to kategoria zapory sieciowej, a nie stwierdzenie, czy tunel się uwierzytelnił albo czy aplikacja cokolwiek osiąga. Traktowanie jej jako komunikatu o błędzie to sposób, w jaki ludzie kończą resetem działającego adaptera i utratą sesji, która była w porządku. Dwie komendy powiedzą, czy etykieta w ogóle zasługuje na uwagę.

Etykieta to kategoria zapory sieciowej, a nie kontrolka stanu

Rozpoznawanie lokalizacji sieci decyduje, czy interfejs należy do domeny, sieci prywatnej czy publicznej, a następnie zapora stosuje zestaw reguł dla tej kategorii. Nieznana to wynik, gdy klasyfikacja się nie powiedzie, co zwykle umieszcza interfejs w profilu publicznym. Profil publiczny to ten, który domyślnie blokuje większość ruchu przychodzącego.

Publiczny jest profilem restrykcyjnym, więc praktyczne pytanie brzmi, czy twoja usługa jest tam dozwolona. Tunel może być całkowicie zdrowy i nadal pokazywać etykietę, ponieważ klasyfikacja zależy od kształtu interfejsu, a nie od stanu połączenia.

Ta różnica wyjaśnia najbardziej mylące raporty: udział plików, który wczoraj działał, a dziś nie, na adapterze, którego nikt nie zmieniał, bo reguła była ograniczona do profilu prywatnego, a interfejs jest teraz w publicznym.

Przeczytaj trzy rzeczy, zanim cokolwiek zmienisz

Sprawdź kategorię, konfigurację adresu i trasę do celu, w tej kolejności. Jeśli zasób działa, etykieta jest kosmetyczna dla twoich celów, a uczciwa odpowiedź brzmi: zostaw ją.

Te komendy wypisują bieżący profil, spis interfejsów i konfigurację jednego adaptera:

Get-NetConnectionProfile
Get-NetAdapter | Format-Table Name,InterfaceIndex,Status
Get-NetIPConfiguration -InterfaceAlias "My VPN Adapter"

Indeks interfejsu ma znaczenie, ponieważ polecenia profilu adresują interfejsy po indeksie, a laptop z fizycznym adapterem, adapterem Wi-Fi i tunelem ma trzy. Odczytanie niewłaściwego daje pewną diagnozę sieci, której nikt nie używa.

Dlaczego adapter w ogóle wygląda na nieznany

Klasyfikacja szuka dowodów, że interfejs do czegoś należy: kontrolera domeny, do którego dociera, bramy zachowującej się jak sieć domowa albo tożsamości, którą można rozwiązać. Interfejs tunelu często nie ma wpisu bramy ani domeny rozgłaszania, więc sondy nie mają z czym pracować.

Klienci pełnego tunelu czasem unikają etykiety, przypisując bramę lub niosąc trasę, którą sonda klasyfikacji może śledzić. Klienci tunelu dzielonego pokazują ją częściej, ponieważ tunel niesie tylko prefiksy, dla których został skonfigurowany, a reszta ruchu wychodzi gdzie indziej.

Nic z tego nie jest usterką. To silnik klasyfikacji opisuje interfejs, który nie wygląda jak LAN, a tunel właśnie taki jest.

Etykieta zaczyna mieć znaczenie w polityce. Narzędzie zarządzające, agent punktu końcowego albo reguła zapory wybierająca według profilu potraktuje nieznany interfejs jako publiczny, a wynikowa blokada jest realna, choć przyczyną jest etykieta.

Zmiana kategorii ma konsekwencje

Oznaczenie interfejsu jako prywatnego to decyzja o zaufaniu, a ona stosuje zestaw reguł prywatnych do ruchu przychodzącego na ten adapter. Jeśli tunel kończy się u dostawcy, którego nie kontrolujesz, albo urządzenie może dołączać do niezaufanych sieci, ta zmiana poszerza to, co jest osiągalne z tego interfejsu. Czyni też urządzenie wykrywalnym w segmencie sieci, którego możesz nie posiadać. To dużo konsekwencji jak na kosmetyczną etykietę.

Szeroki skrypt ustawiający każdy nieznany interfejs jako prywatny jest gorszy, bo stosuje to samo zaufanie do adapterów, których nigdy nie sprawdziłeś. Na urządzeniu zarządzanym zmiana może też zostać nadpisana przez politykę przy następnym odświeżeniu, zostawiając ci poprawkę, która działa, dopóki nie przestanie.

Napraw przepływ, który zawodzi, a nie nazwę

Zacznij od konkretnej awarii: udział, który się nie otwiera, strona, która się nie ładuje, drukarka, której nie można znaleźć. Potem rozdziel przyczyny — rozwiązywanie nazw, wybór trasy, zakres zapory i uprawnienia użytkownika zawodzą na różne sposoby i dają różne komunikaty.

Jeśli awaria dotyczy nazwy, sprawdź rozwiązywanie właśnie z tego adaptera, a nie z maszyny ogólnie. Jeśli trasy, wypisz wybraną trasę dla dokładnego celu. Jeśli zapory, przeczytaj obowiązujący profil i regułę, która powinna zezwalać na ruch, a potem zdecyduj, czy wąska reguła ograniczona do programu jest lepsza niż zmiana kategorii.

Dopiero po wyeliminowaniu tych trzech kategoria staje się prawdopodobną przyczyną, a i wtedy naprawa powinna być najmniejsza, która uruchamia wymagany przepływ. Celem nie jest bardziej znajoma nazwa sieci; celem jest działający udział w ramach zatwierdzonej reguły.