Dlaczego adapter VPN stale trafia do profilu służbowego

Połącz firmowy tunel, a laptop po cichu zmienia charakter. Udostępnianie plików ustaje, przeglądanie po nazwie zawodzi, aplikacja, która wcześniej nasłuchiwała, przestaje nasłuchiwać, a Ustawienia pokazują połączenie jako Służbowe lub Niezidentyfikowane. Istnieją trzy sposoby przypięcia tej klasyfikacji, a wybór między nimi zależy od tego, czy urządzenie jest zarządzane, czy etykieta wciąż wraca oraz czy cokolwiek naprawdę wymaga odnajdywania na tym adapterze.

Co etykieta faktycznie kontroluje

Windows grupuje każdą sieć w kategorię i wybiera z niej profil zapory. Profil Publiczny odrzuca przychodzące udostępnianie, odnajdywanie oraz porty plików i drukarek, zanim jakakolwiek dodana przez ciebie reguła zostanie w ogóle sprawdzona, podczas gdy Prywatny pozwala na więcej. Aplikacje, które sprawdzają kategorię przed wystawieniem usługi, widzą tę samą wartość.

To wybór zasady, nie decyzja o routingu. Adres może być doskonale osiągalny i mimo to odrzucony, ponieważ obowiązujący profil nie zawiera pasującej reguły, i żadna naprawa tras tego nie zmieni. Dwa różne pytania, dwa różne narzędzia. Mieszanie ich to najczęstsza przyczyna tego, że poprawka wydaje się działać, a potem przestaje.

Kategoria jest przechowywana dla każdej sieci, a sieć jest identyfikowana podpisem. W zwykłej sieci lokalnej ten podpis obejmuje adres sprzętowy bramy domyślnej i sufiks DNS połączenia, a adapterowi VPN zwykle brakuje obu. Słaby podpis oznacza, że ten sam tunel może wyglądać jak nowa sieć po aktualizacji klienta.

Dlatego etykieta wydaje się zmieniać sama. Windows nie jest kapryśny; po prostu nie rozpoznaje tunelu jako sieci, którą sklasyfikował w zeszłym tygodniu.

Trzy warunki, które decydują o podejściu

Pierwszym warunkiem jest własność. Na zarządzanym laptopie ustawienie jest często zablokowane, a lokalna zmiana zostanie nadpisana przy następnym odświeżeniu zasad. Walka z tym kosztuje popołudnie; zasada jest obsługiwanym kanałem i jedynym, który się utrzymuje.

Drugim warunkiem jest powtarzalność. Jeśli etykieta wróciła więcej niż raz, wartość dla sieci jest odbudowywana z podpisu, który się zmienił, a ponowna edycja nie utrzyma się. Wartości zasad żyją w osobnej gałęzi, która przewyższa wartości dla użytkownika odbudowywane przez Windows za każdym razem, gdy adapter łączy się ponownie.

Trzecim warunkiem jest potrzeba. Niektóre środowiska naprawdę wymagają rozwiązywania nazw i odnajdywania przez tunel, a te chcą wąskich reguł zapory dla konkretnych adresów, a nie całego adaptera przeniesionego do Prywatnego. Przełączanie kategorii, aby jedna usługa zadziałała, to sposób, w jaki tunel kończy, wystawiając więcej, niż zamierzano.

Odpowiedz na trzy warunki, a wybór dokona się sam. Dwa wskazujące na zasadę oznaczają zasadę, a jedno wskazujące na jednorazowy test oznacza lokalną zmianę, którą zamierzasz odrzucić.

Przypnij to, a potem odczytaj, który profil obowiązuje

Zasady zabezpieczeń lokalnych pokazują ustawienie w sekcji Zasady listy sieci. Otwórz secpol.msc, rozwiń ten węzeł, otwórz wpis dla sieci tunelu, ustaw typ lokalizacji na Publiczny i ustaw uprawnienie użytkownika tak, aby nie można było zmienić lokalizacji. Te ustawienia trafiają do gałęzi Zasady tego samego drzewa, dlatego przewyższają wartości dla użytkownika, które ponowne połączenie nadpisuje.

Publiczny jest zwykle właściwy dla adaptera VPN, ponieważ domyślnie blokuje przychodzące udostępnianie i odnajdywanie. To ostrożny wybór dla tunelu, który może trafić na niezaufany segment, i można go później złagodzić konkretnymi regułami zamiast zmiany kategorii. Rozszerzenie kategorii, aby naprawić jedną usługę, to wymiana, której nie da się łatwo odwrócić. Regułę usuwa się w sekundach.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Pierwsze polecenie zgłasza obowiązującą kategorię, a nie tę z okna dialogowego, i to ta wartość decyduje o zachowaniu zapory. Drugie potwierdza, że stosowany profil jest włączony i na którym naprawdę polegasz.

Zwróć uwagę, czego ta para nie dowodzi. Żadne z poleceń nie pokazuje, czy istnieje konkretna reguła przychodząca, więc usługa, która nadal nie odpowiada, wymaga sprawdzenia reguł, a nie kolejnej zmiany kategorii.

Gdy objawem nie jest kategoria

Wskaźnik sieci może pozostawać w tyle za połączeniem, a starsze wersje Windows miały udokumentowaną wadę, w której wymuszony tunel VPN pokazywał się jako Ograniczony, gdy ruch płynął, a spakowane aplikacje odmawiały jego użycia. Wskaźnik się mylił; tunel działał.

Testuj więc to, na czym użytkownikowi naprawdę zależy, a nie ikonę. Dotrzyj do usługi po adresie, potem po nazwie, a potem przez aplikację. Każdy krok rozdziela routing, rozwiązywanie nazw i zasady aplikacji, a kategoria wchodzi dopiero na etapie zapory.

Jeśli kategoria jest poprawna, a usługa nadal zawodzi, sprawdź zakres reguł. Reguła napisana dla profilu Prywatnego przestaje pasować w chwili, gdy adapter jest Publiczny, i to inna usterka niż reguła, której nigdy nie utworzono.

Zapisz zamierzoną kategorię, to czy jest wymuszana zasadą oraz adresy, które wymagają wyjątków. Ta notatka odpowiada na następne zgłoszenie o znikających udziałach faktem o profilach i zakresach, a nie kolejną teorią o tunelu.

Decyzja jest mała, a konsekwencje nie. Kategoria to selektor zapory, a traktowanie jej jako kosmetyki to sposób, w jaki działająca usługa staje się zagadką.