Zakaj VPN-vmesnik vedno pristane v delovnem profilu
Windows poveže profil požarnega zidu s šibkim podpisom vmesnika VPN. Pripnite lokacijo s pravilnikom in nato preverite, kateri profil dejansko velja.
Povežite podjetniški tunel in prenosnik tiho spremeni značaj. Skupna raba datotek se ustavi, brskanje po imenu odpove, aplikacija, ki je prej poslušala, preneha poslušati, in Nastavitve prikažejo povezavo kot Delovna ali Neidentificirana. Obstajajo trije načini, kako to razvrstitev pripeti, in izbira med njimi je odvisna od tega, ali je naprava upravljana, ali se oznaka nenehno vrača in ali na tem vmesniku kaj res potrebuje odkrivanje.
Kaj oznaka dejansko nadzoruje
Windows vsako omrežje razvrsti v kategorijo in iz nje izbere profil požarnega zidu. Javni profil zavrne dohodno skupno rabo, odkrivanje ter vrata za datoteke in tiskalnike, preden se sploh upošteva katero koli pravilo, ki ga dodate, medtem ko Zasebni dovoli več. Aplikacije, ki kategorijo preverijo pred razkritjem storitve, vidijo enako vrednost.
To je izbira pravilnika, ne odločitev o usmerjanju. Naslov je lahko popolnoma dosegljiv in vseeno zavrnjen, ker veljavni profil ne vsebuje ustreznega pravila, in nobeno popravilo usmerjanja tega ne spremeni. Dve različni vprašanji, dve različni orodji. Njuno mešanje je najpogostejši razlog, da popravek deluje in nato preneha.
Kategorija se shrani za vsako omrežje, omrežje pa se prepozna po podpisu. V običajnem lokalnem omrežju ta podpis vključuje naslov strojne opreme privzetih vrat in pripono DNS povezave, vmesniku VPN pa običajno manjka oboje. Šibek podpis pomeni, da je lahko isti tunel po posodobitvi odjemalca videti kot novo omrežje.
Zato se zdi, da se oznaka spremeni sama od sebe. Windows ni muhast; preprosto ne prepozna tunela kot omrežja, ki ga je razvrstil prejšnji teden.
Trije pogoji, ki odločijo o pristopu
Prvi pogoj je lastništvo. Na upravljanem prenosniku je nastavitev pogosto zaklenjena in lokalna sprememba bo prepisana ob naslednji osvežitvi pravilnika. Boj proti temu stane popoldne; pravilnik je podprt kanal in edini, ki se obdrži.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
Drugi pogoj je ponavljanje. Če se je oznaka vrnila več kot enkrat, se vrednost za posamezno omrežje znova zgradi iz podpisa, ki se je spremenil, in ponovno urejanje ne bo zdržalo. Vrednosti pravilnika živijo v ločeni veji, ki pretehta uporabniške vrednosti, ki jih Windows znova zgradi ob vsaki ponovni povezavi vmesnika.
Tretji pogoj je potreba. Nekatera okolja resnično zahtevajo razreševanje imen in odkrivanje skozi tunel in ta hočejo ozka pravila požarnega zidu za določene naslove, ne pa celotnega vmesnika, premaknjenega v Zasebno. Preklop kategorije, da ena storitev deluje, je način, kako tunel na koncu razkrije več, kot je bilo mišljeno.
Odgovorite na tri pogoje in izbira se naredi sama. Dva, ki kažeta na pravilnik, pomenita pravilnik, in eden, ki kaže na enkratni preizkus, pomeni lokalno spremembo, ki jo nameravate zavreči.
Pripnite ga in nato preberite, kateri profil velja
Pravilnik lokalne varnosti prikaže nastavitev v razdelku Pravilniki za seznam omrežij. Odprite secpol.msc, razširite to vozlišče, odprite vnos za omrežje tunela, nastavite vrsto lokacije na Javno in nastavite uporabniško dovoljenje tako, da lokacije ni mogoče spremeniti. Te nastavitve pristanejo v veji Pravilniki istega drevesa, zato pretehtajo uporabniške vrednosti, ki jih ponovna povezava prepiše.
Javno je običajno pravo za vmesnik VPN, ker privzeto blokira dohodno skupno rabo in odkrivanje. To je previdna izbira za tunel, ki lahko pristane na nezaupljivem segmentu, in ga je mogoče pozneje omiliti s posebnimi pravili namesto s spremembo kategorije. Razširitev kategorije za popravilo ene storitve je menjava, ki je ni lahko obrniti. Pravilo se odstrani v sekundah.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, EnabledPrvi ukaz sporoči veljavno kategorijo in ne tiste v pogovornem oknu, in prav ta vrednost odloči o vedenju požarnega zidu. Drugi potrdi, da je uporabljeni profil omogočen in na katerega se resnično zanašate.
Upoštevajte, česa par ne dokaže. Noben ukaz ne pokaže, ali obstaja določeno dohodno pravilo, zato storitev, ki se še vedno ne odziva, potrebuje preverjanje pravil in ne novo spremembo kategorije.
Ko simptom ni kategorija
Kazalnik omrežja lahko zaostaja za povezavo in starejše različice Windows so imele dokumentirano napako, pri kateri se je vsiljeni tunelski VPN prikazal kot Omejen, medtem ko je promet tekel in so pakirane aplikacije zavračale njegovo uporabo. Kazalnik je bil napačen; tunel je deloval.
Preizkusite torej tisto, kar uporabnika res zanima, in ne ikone. Do storitve pridite po naslovu, nato po imenu in nato prek aplikacije. Vsak korak loči usmerjanje, razreševanje in pravilnik aplikacij, kategorija pa vstopi šele pri koraku požarnega zidu.
Če je kategorija pravilna in storitev še vedno odpove, preverite obseg pravil. Pravilo, napisano za profil Zasebni, preneha ustrezati v trenutku, ko je vmesnik Javen, in to je druga napaka kot pravilo, ki ni bilo nikoli ustvarjeno.
Zabeležite predvideno kategorijo, ali jo uveljavlja pravilnik, in naslove, ki potrebujejo izjeme. Ta zapis odgovori na naslednje poročilo o izginjajočih skupnih rabah z dejstvom o profilih in obsegih, ne z novo teorijo o tunelu.
Odločitev je majhna, posledice pa ne. Kategorija je izbirnik požarnega zidu in obravnavati jo kot kozmetiko je način, kako delujoča storitev postane uganka.