Почему VPN-адаптер снова попадает в рабочий профиль

Подключите корпоративный туннель, и ноутбук тихо меняет характер. Общий доступ к файлам останавливается, просмотр по имени не работает, приложение, которое раньше слушало порт, перестаёт слушать, а Параметры показывают подключение как Рабочая или Неопознанная сеть. Закрепить эту классификацию можно тремя способами, и выбор между ними зависит от того, управляется ли устройство, возвращается ли метка снова и нужно ли на этом адаптере что-то, что действительно требует обнаружения.

Что на самом деле управляет меткой

Windows относит каждую сеть к категории и выбирает из неё профиль брандмауэра. Общедоступный профиль отклоняет входящий общий доступ, обнаружение и порты файлов и принтеров ещё до того, как будет рассмотрено хоть одно добавленное вами правило, а Частный разрешает больше. Приложения, которые проверяют категорию перед публикацией службы, видят то же значение.

Это выбор политики, а не решение о маршрутизации. Адрес может быть полностью доступен и всё равно отклонён, потому что действующий профиль не содержит подходящего правила, и никакой ремонт маршрутов этого не изменит. Два разных вопроса, два разных инструмента. Их смешение — самая частая причина, по которой исправление будто бы работает, а затем перестаёт.

Категория хранится для каждой сети, а сеть определяется подписью. В обычной локальной сети такая подпись включает аппаратный адрес шлюза по умолчанию и DNS-суффикс подключения, и у VPN-адаптера обычно нет ни того, ни другого. Слабая подпись означает, что тот же туннель после обновления клиента может выглядеть как новая сеть.

Поэтому кажется, что метка меняется сама. Windows не капризничает; она просто не узнаёт туннель как сеть, которую классифицировала на прошлой неделе.

Три условия, которые определяют подход

Первое условие — принадлежность. На управляемом ноутбуке параметр часто заблокирован, и локальное изменение будет перезаписано при следующем обновлении политики. Борьба с этим стоит потраченного дня; политика — поддерживаемый канал и единственный, который держится.

Второе условие — повторяемость. Если метка возвращалась больше одного раза, значение для сети перестраивается из изменившейся подписи, и повторное редактирование не удержится. Значения политики живут в отдельной ветви, которая перекрывает пользовательские значения, перестраиваемые Windows при каждом повторном подключении адаптера.

Третье условие — потребность. Некоторым средам действительно нужны разрешение имён и обнаружение через туннель, и им требуются узкие правила брандмауэра для конкретных адресов, а не перенос всего адаптера в Частный профиль. Переключение категории ради одной работающей службы — это путь, на котором туннель в итоге раскрывает больше, чем задумано.

Ответьте на три условия, и выбор сделается сам. Два, указывающие на политику, означают политику, а одно, указывающее на разовую проверку, означает локальное изменение, которое вы собираетесь отменить.

Закрепите это, а затем прочитайте, какой профиль действует

Локальная политика безопасности показывает параметр в разделе Политики списка сетей. Откройте secpol.msc, разверните этот узел, откройте запись для сети туннеля, задайте тип расположения «Общедоступный» и настройте разрешение пользователя так, чтобы расположение нельзя было изменить. Эти параметры попадают в ветвь «Политики» того же дерева, поэтому они перекрывают пользовательские значения, которые перезаписывает повторное подключение.

Общедоступный профиль обычно подходит для VPN-адаптера, потому что по умолчанию блокирует входящий общий доступ и обнаружение. Это осторожный выбор для туннеля, который может оказаться в недоверенном сегменте, и позже его можно ослабить точечными правилами вместо смены категории. Расширение категории ради починки одной службы — обмен, который трудно отменить. Правило удаляется за секунды.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Первая команда сообщает действующую категорию, а не ту, что в диалоговом окне, и именно это значение определяет поведение брандмауэра. Вторая подтверждает, что применяемый профиль включён и на какой вы действительно полагаетесь.

Обратите внимание, чего эта пара не доказывает. Ни одна из команд не показывает, существует ли конкретное входящее правило, поэтому службе, которая всё ещё не отвечает, нужна проверка правил, а не ещё одно изменение категории.

Когда симптом не в категории

Индикатор сети может отставать от подключения, а в старых версиях Windows была задокументирована ошибка, при которой принудительный туннельный VPN отображался как «Ограничено», хотя трафик шёл, а упакованные приложения отказывались его использовать. Индикатор ошибался; туннель работал.

Проверяйте поэтому то, что действительно важно пользователю, а не значок. Доберитесь до службы по адресу, затем по имени, затем через приложение. Каждый шаг разделяет маршрутизацию, разрешение имён и политику приложений, а категория вступает только на шаге брандмауэра.

Если категория верна, а служба всё равно не работает, проверьте охват правил. Правило, написанное для Частного профиля, перестаёт совпадать в тот момент, когда адаптер становится Общедоступным, и это другая неисправность, чем правило, которое никогда не создавалось.

Запишите предполагаемую категорию, применяется ли она политикой и адреса, которым нужны исключения. Эта заметка ответит на следующее сообщение об исчезающих общих ресурсах фактом о профилях и охватах, а не очередной теорией о туннеле.

Решение маленькое, а последствия — нет. Категория — это селектор брандмауэра, и относиться к ней как к косметике значит превращать работающую службу в загадку.