Adaptorul VPN din Windows ar trebui să fie privat sau public?
Decideți cu trei teste dacă un adaptor VPN din Windows aparține profilului privat: cale de încredere, clasificare stabilă și reguli de care chiar aveți nevoie.
Setarea unui adaptor VPN din Windows pe Privat este corectă pentru un tunel de companie și greșită pentru un client VPN comercial, iar diferența nu este cosmetică. Categoria de rețea selectează un profil de firewall, așa că o singură modificare admite un întreg set de reguli deodată. Am văzut un script de conectare care seta fiecare adaptor neidentificat pe Privat, ceea ce a expus în tăcere partajarea fișierelor într-o rețea wireless de hotel. Trei condiții decid răspunsul și toate trebuie să fie valabile înainte de a atinge setarea.
Ce decide de fapt categoria
Network Location Awareness construiește o semnătură pentru fiecare rețea conectată din ce poate raporta adaptorul: adresa gateway-ului și MAC-ul, sufixul DNS, dacă răspunde un controler de domeniu și dacă rețeaua ajunge la internet. Windows atașează un profil la acea semnătură, iar firewall-ul aplică apoi setul de reguli pentru acel profil. Public este varianta de rezervă când identificarea eșuează, de aceea un tunel funcțional poate rămâne etichetat ca rețea neidentificată.
Un adaptor TUN sau TAP oferă de obicei foarte puține informații identificării. Partenerul tunelului este adesea o singură adresă în loc de un gateway, DNS-ul poate fi împins doar în interiorul tunelului, iar adaptorul nu are o rută implicită proprie. Eticheta rezultată descrie intrarea firewall-ului, nu sănătatea tunelului, și de aceea regulile profilului privat încetează să se potrivească în momentul în care VPN-ul se conectează.
Prima condiție: tunelul este calea de încredere
Alegerea Privat afirmă că tot ce este accesibil prin această interfață este cel puțin la fel de fiabil ca propriul LAN, deoarece descoperirea și regulile de intrare vor trata acea subrețea ca locală. Pentru un tunel de companie către o subrețea administrată cu servere de fișiere și imprimante, afirmația se susține de obicei. Adaptorul este o ușă către o rețea controlată de organizația dumneavoastră, iar mașina de cealaltă parte a fost admisă de aceeași politică ce a admis-o pe a dumneavoastră.
O ieșire VPN comercială nu trece acest test. Alți abonați partajează subrețeaua de ieșire, iar marcarea ei ca Privat pune descoperirea rețelei, LLMNR și rezolvarea numelor NetBIOS pe un segment plin de necunoscuți. Și tunelul divizat poate eșua: când adaptorul transportă o singură rută de gazdă către o aplicație, nu există nicio subrețea de încredere despre care să vorbim, iar schimbarea categoriei nu vă oferă nimic.
A doua condiție: clasificarea supraviețuiește reconectărilor
Un gateway nou sau un sufix DNS nou produce o semnătură nouă, iar Windows ia o decizie nouă de profil pentru ea. Așadar un Set-NetConnectionProfile unic supraviețuiește până la următoarea reconectare, nu pentru totdeauna. Verificați profilul după o reconectare și nu după prima conectare, pentru că atunci setarea revine de la sine.
Există trei moduri de a o face durabilă. Cel mai curat este politica: deschideți secpol.msc, mergeți la Network List Manager Policies și setați tipul de locație pentru rețea, inclusiv politica pentru rețele neidentificate, astfel încât profilul să fie aplicat prin politică și nu printr-o comandă. Al doilea este un script pentru fiecare conexiune sau o sarcină programată care rulează cmdletul PowerShell după ce tunelul urcă. Al treilea este vechiul truc al rutei, care oferă identificării un gateway de sondat:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileTrucul rutei este o ocolire, nu o clasificare. Se rupe când relația dintre metrici se schimbă sau clientul VPN rescrie rutele la reconectare, și schimbă în tăcere selecția căii pentru tot ce cade pe a doua rută implicită.
A treia condiție: aveți nevoie de setul de reguli private
Privat include de obicei partajarea fișierelor și imprimantelor, descoperirea rețelei și grupurile de administrare la distanță. Dacă sarcina este să ajungeți la o partajare SMB sau la o imprimantă prin tunel, acesta este motivul real pentru a schimba categoria. Dacă sarcina este accesul de ieșire către o aplicație web, categoria este irelevantă: scrieți regula de ieșire, păstrați Public și opriți-vă acolo.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Citiți tabelul ca punct de plecare și apoi verificați ce reguli private sunt efectiv activate pe imaginea dumneavoastră. O imagine întărită poate fi eliminat complet partajarea fișierelor din profilul privat, iar în acest caz schimbarea categoriei nu realizează nimic până când nu readăugați regula. Acea verificare costă o comandă și economisește o după-amiază lungă.
Faceți schimbarea fără a lărgi tot restul
Țintiți indexul interfeței, nu un caracter universal, și citiți lista înainte și după:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileProfilurile stocate trăiesc sub cheia NetworkList din registru, unde valoarea Category separă rețelele publice, private și de domeniu. Editarea este posibilă și ușor de greșit: trebuie să schimbați intrarea care corespunde semnăturii actuale a adaptorului, nu o intrare mai veche lăsată de o adresă anterioară. O intrare învechită arată corect în editor și nu face nimic la reconectare.
Orice ați face, nu distribuiți un script care setează fiecare adaptor neidentificat pe Privat. Aceasta este versiunea pe o linie a deschiderii descoperirii pe o rețea wireless nesigură. Dacă aveți nevoie de partajare doar cu subrețeaua tunelului, păstrați profilul Public și adăugați reguli de intrare limitate la intervalul de adrese la distanță al tunelului; regula de firewall este mai îngustă decât categoria.
Verificați partajarea, nu eticheta
După modificare, testați resursa în sine în loc să vă bazați pe etichetă:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleDacă partajarea tot eșuează în timp ce adaptorul arată Privat, categoria nu mai este problema dumneavoastră. Rezolvarea numelor, o rută lipsă sau permisiunile de partajare vor produce același simptom, iar încă o schimbare de profil nu poate repara niciuna dintre ele. Reconectați-vă o dată și rulați din nou Get-NetConnectionProfile pentru a confirma că setarea a rezistat, apoi tratați eșecul rămas ca o problemă SMB obișnuită.
Listă de verificare: confirmați că tunelul este o cale administrată, că profilul supraviețuiește unei reconectări, că regulile private de care aveți nevoie există pe imagine și că partajarea se rezolvă și răspunde pe portul 445. Dacă oricare dintre primele trei este falsă, lăsați adaptorul pe Public și rezolvați problema de acces cu o regulă limitată.