Prečo adaptér VPN vždy skončí v pracovnom profile
Windows zviaže profil brány firewall so slabým podpisom adaptéra VPN. Zafixujte umiestnenie zásadou a potom overte, ktorý profil skutočne platí.
Pripojte firemný tunel a notebook potichu zmení charakter. Zdieľanie súborov sa zastaví, prehliadanie podľa názvu zlyhá, aplikácia, ktorá predtým počúvala, prestane počúvať a Nastavenia zobrazujú pripojenie ako Pracovné alebo Neidentifikované. Existujú tri spôsoby, ako toto zaradenie zafixovať, a voľba medzi nimi závisí od toho, či je zariadenie spravované, či sa štítok stále vracia a či na tomto adaptéri niečo naozaj potrebuje zisťovanie.
Čo štítok v skutočnosti riadi
Windows zaradí každú sieť do kategórie a z nej vyberie profil brány firewall. Verejný profil odmieta prichádzajúce zdieľanie, zisťovanie a porty pre súbory a tlačiarne skôr, než sa vôbec zohľadní akékoľvek pravidlo, ktoré pridáte, zatiaľ čo Súkromný dovoľuje viac. Aplikácie, ktoré kategóriu kontrolujú pred vystavením služby, vidia rovnakú hodnotu.
Ide o voľbu zásady, nie o rozhodnutie o smerovaní. Adresa môže byť dokonale dostupná a napriek tomu odmietnutá, pretože platný profil neobsahuje zodpovedajúce pravidlo, a žiadna oprava trás to nezmení. Dve rôzne otázky, dva rôzne nástroje. Ich miešanie je najčastejším dôvodom, prečo oprava vyzerá, že funguje, a potom prestane.
Kategória sa ukladá pre každú sieť a sieť je identifikovaná podpisom. V bežnej miestnej sieti tento podpis zahŕňa hardvérovú adresu predvolenej brány a príponu DNS pripojenia a adaptéru VPN zvyčajne chýba oboje. Slabý podpis znamená, že rovnaký tunel môže po aktualizácii klienta vyzerať ako nová sieť.
Preto sa zdá, že sa štítok mení sám. Windows nie je vrtošivý; len nerozpoznáva tunel ako sieť, ktorú zaradil minulý týždeň.
Tri podmienky, ktoré rozhodujú o prístupe
Prvou podmienkou je vlastníctvo. Na spravovanom notebooku je nastavenie často uzamknuté a miestna úprava bude prepísaná pri ďalšom obnovení zásad. Bojovať s tým znamená stratiť popoludnie; zásada je podporovaný kanál a jediný, ktorý vydrží.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
Druhou podmienkou je opakovanie. Ak sa štítok vrátil viac ako raz, hodnota pre sieť sa znova vytvára z podpisu, ktorý sa zmenil, a ďalšia úprava nevydrží. Hodnoty zásad žijú v samostatnej vetve, ktorá prevažuje nad hodnotami pre používateľa, ktoré Windows znova vytvára pri každom opätovnom pripojení adaptéra.
Treťou podmienkou je potreba. Niektoré prostredia skutočne vyžadujú preklad názvov a zisťovanie cez tunel a tie chcú úzke pravidlá brány firewall pre konkrétne adresy, nie celý adaptér presunutý do Súkromného. Prepnutie kategórie, aby jedna služba fungovala, je spôsob, akým tunel nakoniec odhalí viac, než sa zamýšľalo.
Odpovedzte na tri podmienky a voľba sa urobí sama. Dve ukazujúce na zásadu znamenajú zásadu a jedna ukazujúca na jednorazový test znamená miestnu úpravu, ktorú hodláte zahodiť.
Zafixujte to a potom si prečítajte, ktorý profil platí
Zásady zabezpečenia miestneho počítača zobrazujú nastavenie v časti Zásady zoznamu sietí. Otvorte secpol.msc, rozbaľte tento uzol, otvorte položku pre sieť tunela, nastavte typ umiestnenia na Verejné a nastavte povolenie používateľa tak, aby umiestnenie nebolo možné zmeniť. Tieto nastavenia končia vo vetve Zásady toho istého stromu, a preto prevažujú nad hodnotami pre používateľa, ktoré opätovné pripojenie prepíše.
Verejné je pre adaptér VPN zvyčajne správne, pretože predvolene blokuje prichádzajúce zdieľanie a zisťovanie. Je to opatrná voľba pre tunel, ktorý môže skončiť v nedôveryhodnom segmente, a možno ho neskôr uvolniť konkrétnymi pravidlami namiesto zmeny kategórie. Rozšírenie kategórie kvôli oprave jednej služby je výmena, ktorú nemožno ľahko vrátiť. Pravidlo sa odstráni v priebehu sekúnd.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, EnabledPrvý príkaz hlási platnú kategóriu, nie tú v dialógovom okne, a práve táto hodnota rozhoduje o správaní brány firewall. Druhý potvrdzuje, že používaný profil je povolený a na ktorý sa skutočne spoliehate.
Všimnite si, čo táto dvojica nepreukazuje. Ani jeden príkaz neukazuje, či existuje konkrétne prichádzajúce pravidlo, takže služba, ktorá stále neodpovedá, potrebuje kontrolu pravidiel, nie ďalšiu zmenu kategórie.
Keď príznakom nie je kategória
Indikátor siete môže zaostávať za pripojením a staršie verzie Windows mali zdokumentovanú chybu, pri ktorej sa vynútený tunelový VPN zobrazoval ako Obmedzený, zatiaľ čo prevádzka plynula a zabalené aplikácie ho odmietali používať. Indikátor sa mýlil; tunel fungoval.
Testujte teda to, na čom používateľovi skutočne záleží, nie ikonu. Dostiahnite služby podľa adresy, potom podľa názvu a potom cez aplikáciu. Každý krok oddeľuje smerovanie, preklad a zásady aplikácií a kategória vstupuje až v kroku brány firewall.
Ak je kategória správna a služba stále zlyháva, skontrolujte rozsah pravidiel. Pravidlo napísané pre profil Súkromný prestane zodpovedať v okamihu, keď je adaptér Verejný, a to je iná chyba než pravidlo, ktoré nikdy nevzniklo.
Zaznamenajte zamýšľanú kategóriu, či je vynútená zásadou, a adresy, ktoré potrebujú výnimky. Táto poznámka odpovedá na ďalšie hlásenie o miznúcich zdieľaniach faktom o profiloch a rozsahoch, nie ďalšou teóriou o tuneli.
Rozhodnutie je malé a následky nie. Kategória je selektor brány firewall a považovať ju za kozmetiku je spôsob, akým sa z fungujúcej služby stane záhada.