O adaptador VPN do Windows deve ser privado ou público?

Definir um adaptador VPN do Windows como Privado é correto para um túnel corporativo e errado para um cliente VPN comercial, e a diferença não é cosmética. A categoria de rede seleciona um perfil de firewall, portanto uma única alteração admite todo um conjunto de regras de uma vez. Vi um script de início de sessão definir todos os adaptadores não identificados como Privado, o que expôs silenciosamente a partilha de ficheiros numa rede sem fios de hotel. Três condições decidem a resposta, e todas têm de se verificar antes de tocar na definição.

O que a categoria decide de facto

O Network Location Awareness constrói uma assinatura para cada rede ligada a partir do que o adaptador consegue reportar: o endereço do gateway e o MAC, o sufixo DNS, se um controlador de domínio responde e se a rede chega à internet. O Windows associa um perfil a essa assinatura, e a firewall aplica depois o conjunto de regras desse perfil. Público é o recurso de reserva quando a identificação falha, e é por isso que um túnel a funcionar pode continuar etiquetado como rede não identificada.

Um adaptador TUN ou TAP normalmente dá muito pouca informação à identificação. O par do túnel é muitas vezes um único endereço em vez de um gateway, o DNS pode ser empurrado apenas dentro do túnel, e o adaptador não tem uma rota predefinida própria. A etiqueta resultante descreve a entrada da firewall, não a saúde do túnel, e é por isso que as regras do perfil privado deixam de corresponder no momento em que a VPN se liga.

Primeira condição: o túnel é o caminho confiável

Escolher Privado afirma que tudo o que é alcançável por esta interface é pelo menos tão fiável como a sua própria LAN, porque a descoberta e as regras de entrada tratarão essa sub-rede como local. Para um túnel corporativo para uma sub-rede gerida com servidores de ficheiros e impressoras, a afirmação normalmente mantém-se. O adaptador é uma porta para uma rede controlada pela sua organização, e a máquina do outro lado foi admitida pela mesma política que admitiu a sua.

Uma saída VPN comercial não passa neste teste. Outros subscritores partilham a sub-rede de saída, e marcá-la como Privado coloca a descoberta de rede, o LLMNR e a resolução de nomes NetBIOS num segmento cheio de desconhecidos. O túnel dividido também pode falhar: quando o adaptador transporta uma única rota de anfitrião para uma aplicação, não há sub-rede de confiança de que falar, e a mudança de categoria não lhe dá nada.

Segunda condição: a classificação sobrevive às reconexões

Um novo gateway ou sufixo DNS produz uma nova assinatura, e o Windows toma uma nova decisão de perfil para ela. Um Set-NetConnectionProfile pontual sobrevive, portanto, até à próxima reconexão, não para sempre. Verifique o perfil depois de uma reconexão e não depois da primeira ligação, porque é aí que a definição reverte sozinha.

Há três formas de tornar isto duradouro. A mais limpa é a política: abra secpol.msc, vá a Network List Manager Policies e defina o tipo de localização da rede, incluindo a política de rede não identificada, para que o perfil seja aplicado por política e não por comando. A segunda é um script por ligação ou uma tarefa agendada que execute o cmdlet do PowerShell quando o túnel sobe. A terceira é o velho truque da rota, que dá à identificação um gateway para sondar:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

O truque da rota é um contorno, não uma classificação. Quebra-se quando a relação de métricas muda ou o cliente VPN reescreve as rotas ao reconectar, e altera silenciosamente a seleção de caminho para tudo o que caia na segunda rota predefinida.

Terceira condição: precisa do conjunto de regras privadas

Privado inclui habitualmente a partilha de ficheiros e impressoras, a descoberta de rede e os grupos de administração remota. Se a tarefa é chegar a uma partilha SMB ou a uma impressora através do túnel, é essa a razão real para mudar a categoria. Se a tarefa é acesso de saída a uma aplicação web, a categoria é irrelevante: escreva a regra de saída, mantenha Público e pare aí.

Leia a tabela como ponto de partida e depois verifique que regras privadas estão realmente ativas na sua imagem. Uma imagem endurecida pode ter removido por completo a partilha de ficheiros do perfil privado, e nesse caso a mudança de categoria não alcança nada até repor a regra. Essa verificação custa um comando e poupa uma tarde longa.

Fazer a alteração sem alargar tudo o resto

Aponte ao índice da interface, não a um caráter universal, e leia a lista antes e depois:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Os perfis guardados vivem sob a chave NetworkList do registo, onde o valor Category separa as redes públicas, privadas e de domínio. Editá-lo é possível e fácil de fazer mal: tem de alterar a entrada que corresponde à assinatura atual do adaptador, não uma entrada mais antiga deixada por um endereço anterior. Uma entrada obsoleta parece correta no editor e não faz nada na reconexão.

Faça o que fizer, não distribua um script que defina todos os adaptadores não identificados como Privado. Essa é a versão de uma linha de abrir a descoberta numa rede sem fios não fidedigna. Se só precisa de partilha com a sub-rede do túnel, mantenha o perfil Público e acrescente regras de entrada limitadas ao intervalo de endereços remotos do túnel; a regra de firewall é mais estreita do que a categoria.

Verifique a partilha, não a etiqueta

Depois da alteração, teste o próprio recurso em vez de confiar na etiqueta:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Se a partilha continuar a falhar enquanto o adaptador mostra Privado, a categoria já não é o seu problema. A resolução de nomes, uma rota em falta ou as permissões da partilha produzirão o mesmo sintoma, e outra mudança de perfil não consegue reparar nenhum deles. Reconecte uma vez e volte a executar Get-NetConnectionProfile para confirmar que a definição se manteve, e trate depois a falha restante como um problema SMB comum.

Lista de verificação: confirme que o túnel é um caminho gerido, que o perfil sobrevive a uma reconexão, que as regras privadas de que precisa existem na imagem e que a partilha se resolve e responde na porta 445. Se alguma das três primeiras for falsa, deixe o adaptador em Público e resolva o problema de acesso com uma regra limitada.