Да ли VPN адаптер у Windows-у треба да буде приватан или јаван?

Постављање VPN адаптера у Windows-у на Приватно исправно је за корпоративни тунел, а погрешно за клијента комерцијалног VPN-а, и разлика није козметичка. Категорија мреже бира профил заштитног зида, па једна промена одједном пропушта цео скуп правила. Видео сам скрипту за пријаву која сваки неидентификовани адаптер поставља на Приватно, што је тихо изложило дељење датотека на хотелској бежичној мрежи. Одговор одређују три услова и сви морају да важе пре него што додирнете подешавање.

Шта категорија заправо одређује

Network Location Awareness гради потпис за сваку повезану мрежу од онога што адаптер може да пријави: адресу пролаза и MAC, DNS суфикс, да ли контролер домена одговара и да ли мрежа достиже интернет. Windows повезује профил са тим потписом, а заштитни зид затим примењује скуп правила тог профила. Јавно је резервна опција када идентификација не успе, зато радни тунел и даље може бити означен као неидентификована мрежа.

TUN или TAP адаптер обично даје идентификацији веома мало података. Партнер у тунелу је често једна адреса, а не пролаз, DNS се може слати само унутар тунела, а адаптер нема сопствену подразумевану путању. Добијена ознака описује улаз заштитног зида, а не стање тунела, и зато правила приватног профила престају да се поклапају у тренутку када се VPN повеже.

Први услов: тунел је поуздана путања

Избор Приватно тврди да је све што је достижно кроз овај интерфејс барем толико поуздано као ваш сопствени LAN, јер ће откривање и долазећа правила тај подмрежни сегмент третирати као локални. За корпоративни тунел у управљану подмрежу са серверима датотека и штампачима та тврдња обично важи. Адаптер су врата у мрежу коју контролише ваша организација, а машина са друге стране примљена је истом политиком која је примила вашу.

Излаз комерцијалног VPN-а не пролази овај тест. Други претплатници деле излазну подмрежу, а њено означавање као Приватно ставља откривање мреже, LLMNR и разрешавање имена NetBIOS на сегмент пун странаца. Подељени тунел такође може да не прође: када адаптер носи једну путању до једног рачунара за једну апликацију, нема поуздане подмреже о којој би се говорило, и промена категорије вам ништа не даје.

Други услов: класификација преживљава поновна повезивања

Нови пролаз или DNS суфикс ствара нови потпис и Windows доноси нову одлуку о профилу за њега. Зато једнократни Set-NetConnectionProfile траје до следећег поновног повезивања, не заувек. Проверите профил након поновног повезивања, а не након првог, јер се тада подешавање само враћа.

Постоје три начина да то буде трајно. Најчистији је политика: отворите secpol.msc, идите у Network List Manager Policies и подесите тип локације за мрежу, укључујући политику за неидентификоване мреже, тако да се профил примењује политиком, а не командом. Други је скрипта за свако повезивање или заказани задатак који покреће PowerShell cmdlet након подизања тунела. Трећи је стари трик са путањом, који идентификацији даје пролаз за проверу:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Трик са путањом је заобилажење, а не класификација. Ломи се када се промени однос метрика или када VPN клијент при поновном повезивању препише путање, и тихо мења избор путање за све што падне на другу подразумевану путању.

Трећи услов: потребан вам је скуп приватних правила

Приватно обично носи дељење датотека и штампача, откривање мреже и групе за даљинску администрацију. Ако је задатак да се кроз тунел стигне до SMB дељења или штампача, то је прави разлог за промену категорије. Ако је задатак одлазни приступ једној веб апликацији, категорија је небитна: напишите одлазно правило, оставите Јавно и зауставите се ту.

Читајте табелу као полазну тачку, а затим проверите која су приватна правила на вашој слици заиста омогућена. Очврснута слика можда је потпуно уклонила дељење датотека из приватног профила, и тада промена категорије не постиже ништа док правило не вратите. Та провера кошта једну команду и штеди дуго поподне.

Промена без проширења свега осталог

Циљајте индекс интерфејса, а не џокер знак, и прочитајте листу пре и после:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Сачувани профили живе под кључем NetworkList у регистру, где вредност Category раздваја јавне, приватне и доменске мреже. Уређивање је могуће и лако се погреши: морате да промените запис који одговара тренутном потпису адаптера, а не старији запис који је оставила претходна адреса. Застарео запис изгледа исправно у уређивачу и не ради ништа при поновном повезивању.

Шта год да радите, не испоручујте скрипту која сваки неидентификовани адаптер поставља на Приватно. То је једноредна верзија отварања откривања на непоузданој бежичној мрежи. Ако вам је дељење потребно само са подмрежом тунела, оставите профил Јавно и додајте ограничена долазећа правила за опсег удаљених адреса тунела; правило заштитног зида је уже од категорије.

Проверите дељење, а не ознаку

Након промене тестирајте сам ресурс уместо да верујете ознаци:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Ако дељење и даље не ради док адаптер показује Приватно, категорија више није ваш проблем. Разрешавање имена, путања која недостаје или дозволе за дељење даће исти симптом, и још једна промена профила не може да поправи ниједан од њих. Повежите се још једном и поново покрените Get-NetConnectionProfile да потврдите да је подешавање остало, а затим решите преостали квар као обичан SMB проблем.

Контролна листа: потврдите да је тунел управљана путања, да профил преживљава поновно повезивање, да потребна приватна правила постоје на слици и да се дељење разрешава и одговара на порту 445. Ако је било шта од прва три нетачно, оставите адаптер на Јавно и решите проблем приступа ограниченим правилом.