A duhet të jetë adapteri VPN i Windows privat apo publik?
Vendosni me tre prova nëse një adapter VPN i Windows bën pjesë në profilin privat: rrugë e besuar, klasifikim i qëndrueshëm dhe rregulla që ju nevojiten vërtet.
Vendosja e një adapteri VPN të Windows në Privat është e saktë për një tunel korporativ dhe e gabuar për një klient VPN komercial, dhe ndryshimi nuk është kozmetik. Kategoria e rrjetit zgjedh një profil të murit të zjarrit, kështu që një ndryshim i vetëm lejon një grup të tërë rregullash përnjëherë. Kam parë një skript hyrjeje që vendoste çdo adapter të paidentifikuar në Privat, gjë që zbuloi në heshtje ndarjen e skedarëve në një rrjet pa tela hoteli. Tre kushte e vendosin përgjigjen, dhe të gjitha duhet të plotësohen përpara se të prekni cilësimin.
Çfarë vendos në të vërtetë kategoria
Network Location Awareness ndërton një nënshkrim për çdo rrjet të lidhur nga ajo që adapteri mund të raportojë: adresa e portës dhe MAC, prapashtesa DNS, nëse përgjigjet një kontrollues domeni dhe nëse rrjeti arrin internetin. Windows lidh një profil me atë nënshkrim, dhe më pas muri i zjarrit zbaton grupin e rregullave të atij profili. Publik është alternativa kur identifikimi dështon, prandaj një tunel funksional mund të mbetet i etiketuar si rrjet i paidentifikuar.
Një adapter TUN ose TAP zakonisht i jep identifikimit shumë pak informacion. Partneri i tunelit është shpesh një adresë e vetme në vend të një porte, DNS mund të shtyhet vetëm brenda tunelit, dhe adapteri nuk ka rrugë të vetë parazgjedhur. Etiketa që rezulton përshkruan hyrjen e murit të zjarrit, jo shëndetin e tunelit, dhe për këtë arsye rregullat e profilit privat ndalojnë së përputhuri në momentin që VPN lidhet.
Kushti i parë: tuneli është rruga e besuar
Zgjedhja Privat pohon se gjithçka që arrihet përmes këtij ndërfaqes është të paktën po aq e besueshme sa LAN-i juaj, sepse zbulimi dhe rregullat hyrëse do ta trajtojnë atë nënrrjet si lokal. Për një tunel korporativ drejt një nënrrjeti të administruar me serverë skedarësh dhe printerë, pohimi zakonisht qëndron. Adapteri është një derë drejt një rrjeti që kontrollohet nga organizata juaj, dhe makina në anën tjetër është pranuar nga e njëjta politikë që pranoi tuajën.
Një dalje VPN komerciale nuk e kalon këtë provë. Abonentë të tjerë ndajnë nënrrjetin e daljes, dhe shënimi i tij si Privat vendos zbulimin e rrjetit, LLMNR dhe zgjidhjen e emrave NetBIOS në një segment plot të huaj. Edhe tuneli i ndarë mund të dështojë: kur adapteri mban një rrugë të vetme hosti drejt një aplikacioni, nuk ka nënrrjet të besuar për të folur, dhe ndryshimi i kategorisë nuk ju jep asgjë.
Kushti i dytë: klasifikimi i mbijeton rilidhjeve
Një portë e re ose një prapashtesë DNS e re prodhon një nënshkrim të re, dhe Windows merr një vendim të re profili për të. Kështu një Set-NetConnectionProfile i njëhershëm zgjat deri në rilidhjen tjetër, jo përgjithmonë. Kontrolloni profilin pas një rilidhjeje dhe jo pas lidhjes së parë, sepse atëherë cilësimi kthehet vetë.
Ka tre mënyra për ta bërë të qëndrueshme. Më e pastër është politika: hapni secpol.msc, shkoni te Network List Manager Policies dhe vendosni llojin e vendndodhjes për rrjetin, përfshirë politikën për rrjetet e paidentifikuara, në mënyrë që profili të zbatohet nga politika dhe jo nga një komandë. E dyta është një skript për çdo lidhje ose një detyrë e planifikuar që ekzekuton cmdlet-in PowerShell pasi tuneli ngrihet. E treta është truku i vjetër i rrugës, që i jep identifikimit një portë për të hetuar:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileTruku i rrugës është një anashkalim, jo një klasifikim. Prishet kur ndryshon raporti i metrikave ose klienti VPN rishkruan rrugët gjatë rilidhjes, dhe ndryshon në heshtje zgjedhjen e shtegut për çdo gjë që bie në rrugën e dytë të parazgjedhur.
Kushti i tretë: ju nevojitet grupi privat i rregullave
Privat zakonisht përfshin ndarjen e skedarëve dhe printerëve, zbulimin e rrjetit dhe grupet e administrimit në distancë. Nëse detyra është të arrini një ndarje SMB ose një printer përmes tunelit, ky është arsyeja e vërtetë për të ndryshuar kategorinë. Nëse detyra është akses dalës drejt një aplikacioni web, kategoria është e parëndësishme: shkruani rregullin dalës, mbani Publik dhe ndaloni atje.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Lexojeni tabelën si pikënisje dhe më pas kontrolloni cilat rregulla private janë vërtet të aktivizuara në imazhin tuaj. Një imazh i forcëuar mund të ketë hequr plotësisht ndarjen e skedarëve nga profili privat, dhe në atë rast ndryshimi i kategorisë nuk arrin asgjë derisa ta ktheni rregullin. Ai kontroll kushton një komandë dhe kursen një pasdite të gjatë.
Ta bësh ndryshimin pa zgjeruar gjithçka tjetër
Synoni indeksin e ndërfaqes, jo një karakter të përgjithshëm, dhe lexoni listën para dhe pas:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileProfilet e ruajtura jetojnë nën çelësin NetworkList në regjistër, ku vlera Category ndan rrjetet publike, private dhe të domenit. Redaktimi është i mundur dhe i lehtë për t'u gabuar: duhet të ndryshoni hyrjen që përputhet me nënshkrimin aktual të adapterit, jo një hyrje më të vjetër të lënë nga një adresë e mëparshme. Një hyrje e vjetruar duket e saktë në redaktues dhe nuk bën asgjë gjatë rilidhjes.
Çfarëdo që të bëni, mos publikoni një skript që vendos çdo adapter të paidentifikuar në Privat. Ky është versioni një-rresht i hapjes së zbulimit në një rrjet pa tela të pabesueshëm. Nëse ndarja ju nevojitet vetëm me nënrrjetin e tunelit, mbani profilin Publik dhe shtoni rregulla hyrëse të kufizuara në diapazonin e adresave të largëta të tunelit; rregulli i murit të zjarrit është më i ngushtë se kategoria.
Verifikoni ndarjen, jo etiketën
Pas ndryshimit, provoni vetë burimin në vend që t'i besoni etiketës:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleNëse ndarja vazhdon të dështojë ndërsa adapteri shfaq Privat, kategoria nuk është më problemi juaj. Zgjidhja e emrave, një rrugë që mungon ose lejet e ndarjes do të prodhojnë të njëjtin simptomë, dhe një ndryshim tjetër i profilit nuk mund të rregullojë asnjërën prej tyre. Rilidhuni një herë dhe ekzekutoni përsëri Get-NetConnectionProfile për të konfirmuar se cilësimi qëndroi, pastaj trajtojeni dështimin e mbetur si një problem normal SMB.
Lista e kontrollit: konfirmoni që tuneli është rrugë e administruar, profili i mbijeton një rilidhjeje, rregullat private që ju nevojiten ekzistojnë në imazh dhe ndarja zgjidhet dhe përgjigjet në portën 445. Nëse ndonjë nga tre të parat është i gabuar, lëreni adapterin në Publik dhe zgjidhni problemin e aksesit me një rregull të kufizuar.