De ce un adaptor VPN ajunge mereu în profilul de lucru

Conectați tunelul corporativ și laptopul își schimbă discret caracterul. Partajarea fișierelor se oprește, navigarea pe nume eșuează, o aplicație care asculta înainte nu mai ascultă, iar Setările arată conexiunea ca Lucru sau Neidentificată. Există trei moduri de a fixa acea clasificare, iar alegerea dintre ele depinde de dacă dispozitivul este administrat, dacă eticheta tot revine și dacă ceva are într-adevăr nevoie de descoperire pe acel adaptor.

Ce controlează de fapt eticheta

Windows grupează fiecare rețea într-o categorie și alege din ea un profil de firewall. Profilul Public refuză partajarea de intrare, descoperirea și porturile pentru fișiere și imprimante înainte ca vreo regulă adăugată de dumneavoastră să fie măcar consultată, în timp ce Privat permite mai mult. Aplicațiile care verifică categoria înainte de a expune un serviciu văd aceeași valoare.

Aceasta este o alegere de politică, nu o decizie de rutare. O adresă poate fi perfect accesibilă și totuși refuzată pentru că profilul în vigoare nu conține o regulă potrivită, iar nicio reparare a rutelor nu schimbă asta. Două întrebări diferite, două instrumente diferite. Amestecarea lor este cel mai frecvent motiv pentru care o soluție pare să funcționeze și apoi se oprește.

Categoria este stocată pentru fiecare rețea, iar rețeaua este identificată printr-o semnătură. Într-o rețea locală obișnuită acea semnătură include adresa hardware a gateway-ului implicit și sufixul DNS al conexiunii, iar unui adaptor VPN îi lipsește de obicei ambele. O semnătură slabă înseamnă că același tunel poate părea o rețea nouă după o actualizare a clientului.

De aceea eticheta pare să se schimbe singură. Windows nu este capricios; pur și simplu nu reușește să recunoască tunelul drept rețeaua pe care a clasificat-o săptămâna trecută.

Trei condiții care decid abordarea

Prima condiție este proprietatea. Pe un laptop administrat setarea este adesea blocată, iar o modificare locală va fi suprascrisă la următoarea reîmprospătare a politicii. Lupta cu asta costă o după-amiază; politica este canalul acceptat și singurul care rezistă.

A doua condiție este recurența. Dacă eticheta a revenit de mai multe ori, valoarea pe rețea este reconstruită dintr-o semnătură care s-a schimbat, iar editarea din nou nu va rezista. Valorile de politică trăiesc într-o ramură separată care are prioritate față de valorile pe utilizator pe care Windows le reconstruiește la fiecare reconectare a adaptorului.

A treia condiție este nevoia. Unele medii chiar necesită rezolvarea numelor și descoperirea prin tunel, iar acelea vor reguli de firewall înguste pentru adrese anume, nu un adaptor întreg mutat în Privat. Schimbarea categoriei pentru ca un singur serviciu să funcționeze este felul în care un tunel ajunge să expună mai mult decât s-a intenționat.

Răspundeți celor trei condiții și alegerea se face singură. Două care indică politica înseamnă politică, iar una care indică un test unic înseamnă o modificare locală pe care intenționați să o aruncați.

Fixați-l, apoi citiți ce profil este în vigoare

Politica de securitate locală expune setarea în Politici pentru lista de rețele. Deschideți secpol.msc, extindeți acel nod, deschideți intrarea pentru rețeaua tunelului, setați tipul locației la Public și setați permisiunea de utilizator astfel încât locația să nu poată fi schimbată. Acele setări ajung în ramura Politici a aceluiași arbore, motiv pentru care au prioritate față de valorile pe utilizator pe care o reconectare le rescrie.

Public este de obicei corect pentru un adaptor VPN, pentru că blochează implicit partajarea de intrare și descoperirea. Este alegerea prudentă pentru un tunel care poate ajunge pe un segment neîncrezător, iar mai târziu poate fi relaxată cu reguli specifice în locul unei schimbări de categorie. Lărgirea categoriei ca să repari un singur serviciu este un schimb pe care nu îl poți anula ușor. O regulă se elimină în câteva secunde.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Prima comandă raportează categoria în vigoare și nu pe cea din caseta de dialog, iar acea valoare decide comportamentul firewallului. A doua confirmă că profilul aplicat este activat și pe care vă bazați de fapt.

Observați ce nu dovedește perechea. Niciuna dintre comenzi nu arată dacă există o regulă de intrare anume, așa că un serviciu care încă nu răspunde are nevoie de o verificare a regulilor, nu de încă o schimbare de categorie.

Când simptomul nu este categoria

Un indicator de rețea poate rămâne în urma conexiunii, iar versiunile mai vechi de Windows aveau un defect documentat în care un VPN cu tunel forțat apărea ca Limitată în timp ce traficul curgea și aplicațiile împachetate refuzau să o folosească. Indicatorul greșea; tunelul funcționa.

Testați deci ceea ce îi pasă cu adevărat utilizatorului, nu pictograma. Ajungeți la serviciu după adresă, apoi după nume, apoi prin aplicație. Fiecare pas separă rutarea, rezolvarea și politica aplicațiilor, iar categoria intră doar la pasul firewallului.

Dacă categoria este corectă și serviciul tot eșuează, verificați sfera regulilor. O regulă scrisă pentru profilul Privat încetează să se potrivească în momentul în care adaptorul este Public, iar asta este altă defecțiune decât o regulă care nu a fost niciodată creată.

Notați categoria dorită, dacă este impusă prin politică și adresele care au nevoie de excepții. Acea notă răspunde următoarei raportări despre partaje care dispar cu un fapt despre profile și sfere, nu cu încă o teorie despre tunel.

Decizia este mică, iar consecințele nu. O categorie este un selector de firewall, iar a o trata ca pe ceva cosmetic este felul în care un serviciu funcțional devine un mister.