Ali naj bo adapter VPN v Windowsu zaseben ali javen?

Nastavitev adapterja VPN v Windowsu na Zasebno je pravilna za podjetniški tunel in napačna za odjemalca komercialnega VPN, razlika pa ni kozmetična. Kategorija omrežja izbere profil požarnega zidu, zato ena sprememba naenkrat spusti cel nabor pravil. Videl sem prijavno skripto, ki je vsak neidentificiran adapter nastavila na Zasebno, kar je tiho razkrilo skupno rabo datotek v hotelskem brezžičnem omrežju. Odgovor določajo trije pogoji in vsi morajo veljati, preden se dotaknete nastavitve.

Kaj kategorija v resnici določi

Network Location Awareness zgradi podpis za vsako povezano omrežje iz tega, kar adapter lahko poroča: naslov prehoda in MAC, pripono DNS, ali odgovarja krmilnik domene in ali omrežje doseže internet. Windows na ta podpis pritrdi profil, požarni zid pa nato uveljavi nabor pravil tega profila. Javno je rezervna možnost, ko identifikacija ne uspe, zato je lahko delujoč tunel še vedno označen kot neidentificirano omrežje.

Adapter TUN ali TAP običajno da identifikaciji zelo malo podatkov. Partner tunela je pogosto en naslov namesto prehoda, DNS se lahko pošilja samo znotraj tunela, adapter pa nima lastne privzete poti. Nastala oznaka opisuje vhod požarnega zidu, ne stanja tunela, in zato se pravila zasebnega profila prenehajo ujemati v trenutku, ko se VPN poveže.

Prvi pogoj: tunel je zaupanja vredna pot

Izbira Zasebno trdi, da je vse, kar je dosegljivo prek tega vmesnika, vsaj tako zanesljivo kot vaš lastni LAN, ker bosta odkrivanje in dohodna pravila to podomrežje obravnavala kot lokalno. Za podjetniški tunel v upravljano podomrežje s strežniki datotek in tiskalniki ta trditev običajno drži. Adapter so vrata v omrežje, ki ga nadzoruje vaša organizacija, in stroj na drugi strani je bil sprejet z isto politiko, ki je sprejela vašega.

Izhod komercialnega VPN tega preizkusa ne prestane. Drugi naročniki si delijo izhodno podomrežje in če ga označite kot Zasebno, se odkrivanje omrežja, LLMNR in razreševanje imen NetBIOS znajdejo na segmentu, polnem neznancev. Tudi razdeljeni tunel lahko ne uspe: ko adapter nosi eno pot do gostitelja za eno aplikacijo, ni zaupanja vrednega podomrežja, o katerem bi lahko govorili, in sprememba kategorije vam ne prinese nič.

Drugi pogoj: razvrstitev preživi ponovne povezave

Nov prehod ali pripona DNS ustvari nov podpis in Windows zanj sprejme novo odločitev o profilu. Enkratni Set-NetConnectionProfile torej traja do naslednje ponovne povezave, ne za vedno. Preverite profil po ponovni povezavi in ne po prvi, ker se takrat nastavitev sama vrne.

Obstajajo trije načini, da to postane trajno. Najčistejši je politika: odprite secpol.msc, pojdite v Network List Manager Policies in nastavite vrsto lokacije za omrežje, vključno s politiko za neidentificirana omrežja, da se profil uveljavi s politiko in ne z ukazom. Drugi je skripta za vsako povezavo ali načrtovano opravilo, ki po dvigu tunela zažene ukaz PowerShell. Tretji je stari trik s potjo, ki identifikaciji da prehod za preverjanje:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Trik s potjo je obhod, ne razvrstitev. Zlomi se, ko se spremeni razmerje meritev ali odjemalec VPN ob ponovni povezavi prepiše poti, in tiho spremeni izbiro poti za vse, kar pade na drugo privzeto pot.

Tretji pogoj: potrebujete nabor zasebnih pravil

Zasebno običajno vsebuje skupno rabo datotek in tiskalnikov, odkrivanje omrežja in skupine za oddaljeno upravljanje. Če je naloga doseči skupno rabo SMB ali tiskalnik skozi tunel, je to pravi razlog za spremembo kategorije. Če je naloga odhodni dostop do ene spletne aplikacije, je kategorija nepomembna: napišite odhodno pravilo, obdržite Javno in se tam ustavite.

Tabelo berite kot izhodišče in nato preverite, katera zasebna pravila so na vaši sliki dejansko omogočena. Utrjena slika je morda popolnoma odstranila skupno rabo datotek iz zasebnega profila, in takrat sprememba kategorije ne doseže ničesar, dokler pravila ne vrnete. To preverjanje stane en ukaz in prihrani dolgo popoldne.

Sprememba brez širjenja vsega drugega

Ciljajte na indeks vmesnika, ne na nadomestni znak, in preberite seznam pred in po:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Shranjeni profili živijo pod ključem NetworkList v registru, kjer vrednost Category ločuje javna, zasebna in domenska omrežja. Urejanje je mogoče in zlahka napačno: spremeniti morate vnos, ki ustreza trenutnemu podpisu adapterja, ne pa starejšega vnosa, ki ga je pustil prejšnji naslov. Zastarel vnos je v urejevalniku videti pravilen in ob ponovni povezavi ne naredi ničesar.

Karkoli počnete, ne objavite skripte, ki vsak neidentificiran adapter nastavi na Zasebno. To je enovrstična različica odpiranja odkrivanja v nezanesljivem brezžičnem omrežju. Če skupno rabo potrebujete le s podomrežjem tunela, obdržite profil Javno in dodajte omejena dohodna pravila za obseg oddaljenih naslovov tunela; pravilo požarnega zidu je ožje od kategorije.

Preverite skupno rabo, ne oznake

Po spremembi preizkusite vir sam, namesto da zaupate oznaki:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Če skupna raba še vedno ne uspe, medtem ko adapter kaže Zasebno, kategorija ni več vaša težava. Razreševanje imen, manjkajoča pot ali dovoljenja za skupno rabo bodo ustvarili enake simptome, in še ena sprememba profila ne more popraviti nobenega od njih. Znova se povežite enkrat in znova zaženite Get-NetConnectionProfile, da potrdite, da je nastavitev zdržala, nato pa preostalo napako obravnavajte kot običajno težavo SMB.

Kontrolni seznam: potrdite, da je tunel upravljana pot, da profil preživi ponovno povezavo, da na sliki obstajajo potrebna zasebna pravila in da se skupna raba razreši ter odgovori na vratih 445. Če je kateri od prvih treh napačen, pustite adapter na Javno in težavo z dostopom rešite z omejenim pravilom.