Má byť adaptér VPN vo Windows privátny alebo verejný?

Nastaviť adaptér VPN vo Windows na Privátny je správne pre podnikový tunel a nesprávne pre klienta komerčnej VPN a rozdiel nie je kozmetický. Kategória siete vyberá profil brány firewall, takže jedna zmena naraz prepustí celú sadu pravidiel. Videl som prihlasovací skript, ktorý nastavoval každý neidentifikovaný adaptér na Privátny, a ten potichu odhalil zdieľanie súborov v hotelovej bezdrôtovej sieti. Odpoveď určujú tri podmienky a všetky musia platiť, kým sa dotknete nastavenia.

Čo kategória v skutočnosti určuje

Network Location Awareness zostavuje podpis pre každú pripojenú sieť z toho, čo adaptér dokáže nahlásiť: adresu brány a MAC, príponu DNS, či odpovedá radič domény a či sa sieť dostane na internet. Windows priradí profil k tomuto podpisu a brána firewall potom pre tento profil uplatní sadu pravidiel. Verejná je záložná možnosť, keď identifikácia zlyhá, a preto môže funkčný tunel zostať označený ako neidentifikovaná sieť.

Adaptér TUN alebo TAP zvyčajne dáva identifikácii veľmi málo informácií. Partner tunela býva jedna adresa namiesto brány, DNS sa môže posielať len vnútri tunela a adaptér nemá vlastnú predvolenú trasu. Výsledný štítok opisuje vstup brány firewall, nie stav tunela, a preto pravidlá privátneho profilu prestanú odpovedať v okamihu, keď sa VPN pripojí.

Prvá podmienka: tunel je dôveryhodná cesta

Voľba Privátny tvrdí, že všetko dosiahnuteľné cez toto rozhranie je aspoň také dôveryhodné ako vaša vlastná LAN, pretože zisťovanie a prichádzajúce pravidlá budú túto podsietu považovať za miestnu. Pre podnikový tunel do spravovanej podsiete so súborovými servermi a tlačiarňami to zvyčajne platí. Adaptér je dvere do siete, ktorú kontroluje vaša organizácia, a stroj na druhej strane bol prijatý tou istou politikou, ktorá prijala ten váš.

Výstup komerčnej VPN tento test nezvládne. Výstupnú podsietu zdieľajú ďalší odberatelia a označenie za Privátny presunie zisťovanie siete, LLMNR a preklad názvov NetBIOS na segment plný cudzích ľudí. Zlyhať môže aj rozdelený tunel: keď adaptér nesie jedinú trasu k hostiteľovi pre jednu aplikáciu, nie je o čom hovoriť ako o dôveryhodnej podsieti a zmena kategórie vám nič neprinesie.

Druhá podmienka: klasifikácia prežije opakované pripojenia

Nová brána alebo prípona DNS vytvorí nový podpis a Windows o ňom rozhodne nanovo. Jednorazový Set-NetConnectionProfile teda prežije do ďalšieho pripojenia, nie navždy. Kontrolujte profil po opakovanom pripojení, nie po prvom, pretože práve vtedy sa nastavenie samo vracia.

Sú tri spôsoby, ako to urobiť trvalým. Najčistejšia je politika: otvorte secpol.msc, prejdite do Network List Manager Policies a nastavte typ umiestnenia pre sieť vrátane politiky pre neidentifikovanú sieť, aby sa profil uplatňoval politikou a nie príkazom. Druhým je skript pre každé pripojenie alebo naplánovaná úloha, ktorá po zdvihnutí tunela spustí rutinu PowerShellu. Tretím je starý trik s trasou, ktorý dá identifikácii bránu na overenie:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Trik s trasou je obchádzka, nie klasifikácia. Pokazí sa, keď sa zmení vzťah metrík alebo klient VPN pri opakovanom pripojení prepíše trasy, a potichu mení voľbu cesty pre všetko, čo padne na druhú predvolenú trasu.

Tretia podmienka: potrebujete sadu privátnych pravidiel

Privátny profil zvyčajne obsahuje zdieľanie súborov a tlačiarní, zisťovanie siete a skupiny vzdialenej správy. Ak je úlohou dostať sa tunelom k zdieľanému priečinku SMB alebo k tlačiarni, to je skutočný dôvod zmeniť kategóriu. Ak je úlohou odchádzajúci prístup k jednej webovej aplikácii, kategória je irelevantná: napíšte odchádzajúce pravidlo, ponechajte Verejná a tam skončite.

Čítajte tabuľku ako východiskový bod a potom skontrolujte, ktoré privátne pravidlá sú na vašom obraze skutočne zapnuté. Zosilnený obraz mohol zdieľanie súborov z privátneho profilu úplne odstrániť, a potom zmena kategórie nič nedosiahne, kým pravidlo nevrátite. Tá kontrola stojí jeden príkaz a ušetrí dlhé popoludnie.

Zmena bez rozšírenia všetkého ostatného

Mierte na index rozhrania, nie na zástupný znak, a prečítajte si zoznam pred a po:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Uložené profily žijú pod kľúčom NetworkList v registri, kde hodnota Category oddeľuje verejné, privátne a doménové siete. Upraviť ju možno a ľahko sa to pokazí: musíte zmeniť záznam zodpovedajúci aktuálnemu podpisu adaptéra, nie starší záznam zanechaný predchádzajúcou adresou. Zastaraný záznam vyzerá v editore správne a pri opakovanom pripojení nič nerobí.

Čokoľvek robíte, nevydávajte skript, ktorý nastaví každý neidentifikovaný adaptér na Privátny. To je jednoriadková verzia otvorenia zisťovania v nedôveryhodnej bezdrôtovej sieti. Ak potrebujete zdieľanie len s podsietou tunela, ponechajte profil Verejná a pridajte obmedzené prichádzajúce pravidlá pre rozsah vzdialených adries tunela; pravidlo brány firewall je užšie ako kategória.

Overte zdieľanie, nie štítok

Po zmene otestujte samotný prostriedok namiesto dôvery štítku:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Ak zdieľanie stále zlyháva, kým adaptér ukazuje Privátny, kategória už nie je váš problém. Preklad názvov, chýbajúca trasa alebo oprávnenia k zdieľaniu vyvolajú rovnaký príznak a ďalšia zmena profilu neopraví ani jedno z toho. Raz sa znova pripojte a znova spustite Get-NetConnectionProfile, aby ste potvrdili, že nastavenie vydržalo, a potom riešte zvyšnú poruchu ako bežný problém SMB.

Kontrolný zoznam: potvrďte, že tunel je spravovaná cesta, profil prežije opakované pripojenie, potrebné privátne pravidlá na obraze existujú a zdieľanie sa preloží a odpovedá na porte 445. Ak je niektorá z prvých troch nesprávna, ponechajte adaptér na Verejná a vyriešte problém prístupu obmedzeným pravidlom.