Por que um adaptador VPN acaba sempre no perfil de trabalho

Ligue o túnel corporativo e o portátil muda discretamente de carácter. A partilha de ficheiros para, a navegação por nome falha, uma aplicação que escutava deixa de escutar e as Definições mostram a ligação como Trabalho ou Não identificada. Existem três formas de fixar essa classificação, e a escolha entre elas depende de o dispositivo ser gerido, de o rótulo continuar a reverter e de algo precisar realmente de deteção nesse adaptador.

O que o rótulo controla de facto

O Windows agrupa cada rede numa categoria e escolhe a partir dela um perfil de firewall. O perfil Público recusa partilha de entrada, deteção e as portas de ficheiros e impressoras antes de qualquer regra acrescentada ser consultada, enquanto o Privado permite mais. As aplicações que verificam a categoria antes de expor um serviço veem o mesmo valor.

Trata-se de uma seleção de política, não de uma decisão de encaminhamento. Um endereço pode estar perfeitamente acessível e ainda assim ser recusado porque o perfil em vigor não contém uma regra correspondente, e nenhuma reparação de rotas muda isso. Duas perguntas diferentes, duas ferramentas diferentes. Misturá-las é a razão mais comum para uma correção parecer funcionar e depois parar.

A categoria é armazenada por rede, e a rede é identificada por uma assinatura. Numa LAN comum essa assinatura inclui o endereço de hardware do gateway predefinido e o sufixo DNS da ligação, e um adaptador VPN normalmente não tem nenhum dos dois. Uma assinatura fraca significa que o mesmo túnel pode parecer uma rede nova após uma atualização do cliente.

É por isso que o rótulo parece mudar sozinho. O Windows não está a ser caprichoso; está a falhar em reconhecer o túnel como a rede que classificou na semana passada.

Três condições que decidem a abordagem

A primeira condição é a propriedade. Num portátil gerido a definição costuma estar bloqueada, e uma edição local será substituída na atualização de política seguinte. Lutar contra isso é perder uma tarde; a política é o canal suportado e o único que se mantém.

A segunda condição é a recorrência. Se o rótulo já reverteu mais de uma vez, o valor por rede está a ser reconstruído a partir de uma assinatura que mudou, e editá-lo de novo não vai durar. Os valores de política vivem num ramo separado que se sobrepõe aos valores por utilizador que o Windows reconstrói sempre que o adaptador se volta a ligar.

A terceira condição é a necessidade. Alguns ambientes exigem mesmo resolução de nomes e deteção através do túnel, e esses querem regras de firewall estreitas para endereços específicos em vez de um adaptador inteiro passado para Privado. Mudar a categoria para pôr um serviço a funcionar é como um túnel acaba por expor mais do que o previsto.

Responda às três condições e a escolha faz-se sozinha. Duas a apontar para a política significam política, e uma a apontar para um teste pontual significa uma edição local que tenciona descartar.

Fixe-o e depois leia qual perfil está em vigor

A Política de Segurança Local expõe a definição em Políticas do Gestor de Lista de Redes. Abra secpol.msc, expanda esse nó, abra a entrada da rede do túnel, defina o tipo de localização como Público e defina a permissão de utilizador para que a localização não possa ser alterada. Essas definições ficam no ramo Políticas dessa mesma árvore, e é por isso que se sobrepõem aos valores por utilizador que uma reconexão reescreve.

Público costuma ser o certo para um adaptador VPN, porque bloqueia por predefinição a partilha de entrada e a deteção. É a opção conservadora para um túnel que pode cair num segmento não fidedigno, e pode ser relaxada mais tarde com regras específicas em vez de uma mudança de categoria. Alargar a categoria para corrigir um serviço é uma troca difícil de reverter. Uma regra remove-se em segundos.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

O primeiro comando indica a categoria em vigor e não a da caixa de diálogo, e é esse o valor que decide o comportamento da firewall. O segundo confirma que o perfil aplicado está ativado e em qual está realmente a confiar.

Note o que o par não prova. Nenhum dos comandos mostra se existe uma regra de entrada específica, por isso um serviço que continua sem responder precisa de uma verificação de regras e não de outra alteração de categoria.

Quando o sintoma não é a categoria

Um indicador de rede pode ficar atrás da ligação, e versões antigas do Windows tinham um defeito documentado em que uma VPN de túnel forçado aparecia como Limitada enquanto o tráfego fluía e as aplicações empacotadas se recusavam a usá-la. O indicador estava errado; o túnel funcionava.

Teste então o que realmente importa ao utilizador em vez do ícone. Chegue ao serviço por endereço, depois por nome e depois através da aplicação. Cada passo separa encaminhamento, resolução e política de aplicações, e a categoria só entra no passo da firewall.

Se a categoria está correta e o serviço continua a falhar, verifique o âmbito das regras. Uma regra escrita para o perfil Privado deixa de corresponder no momento em que o adaptador é Público, e isso é uma falha diferente de uma regra que nunca foi criada.

Registe a categoria pretendida, se é imposta por política e os endereços que precisam de exceções. Essa nota responde ao próximo relato de partilhas que desaparecem com um facto sobre perfis e âmbitos em vez de outra teoria sobre o túnel.

A decisão é pequena e as consequências não. Uma categoria é um seletor de firewall, e tratá-la como cosmética é como um serviço a funcionar se torna num mistério.