Зашто VPN адаптер увек заврши у радном профилу
Windows повезује профил заштитног зида са слабим потписом VPN адаптера. Причврстите локацију правилником, а затим проверите који профил заиста важи.
Повежите корпоративни тунел и преносни рачунар тихо мења карактер. Дељење датотека стаје, претраживање по имену не успева, апликација која је раније слушала престаје да слуша, а Подешавања приказују везу као Радна или Неидентификована. Постоје три начина да се та класификација причврсти, а избор међу њима зависи од тога да ли је уређај под управљањем, да ли се ознака и даље враћа и да ли је на том адаптеру нечему заиста потребно откривање.
Шта ознака заправо контролише
Windows сваку мрежу разврстава у категорију и из ње бира профил заштитног зида. Јавни профил одбија долазно дељење, откривање и портове за датотеке и штампаче пре него што се уопште размотри било које правило које додате, док Приватни дозвољава више. Апликације које провере категорију пре излагања услуге виде исту вредност.
Ово је избор правилника, а не одлука о усмеравању. Адреса може бити потпуно достижна и ипак одбијена јер важећи профил не садржи одговарајуће правило, и никакав поправак рута то не мења. Два различита питања, два различита алата. Њихово мешање је најчешћи разлог зашто исправка изгледа да ради, а затим престане.
Категорија се чува по мрежи, а мрежа се препознаје по потпису. На обичној локалној мрежи тај потпис укључује хардверску адресу подразумеваног пролаза и DNS суфикс везе, а VPN адаптеру обично недостаје обоје. Слаб потпис значи да исти тунел може изгледати као нова мрежа након надоградње клијента.
Зато се чини да се ознака мења сама. Windows није хировит; само не препознаје тунел као мрежу коју је разврстао прошле недеље.
Три услова која одлучују о приступу
Први је услов власништво. На управљаном преносном рачунару поставка је често закључана, а локална измена биће пребрисана при следећем освежавању правилника. Борба против тога кошта једно поподне; правилник је подржани канал и једини који се одржи.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
Други је услов понављање. Ако се ознака вратила више пута, вредност по мрежи се обнавља из потписа који се променио, и поновно уређивање неће потрајати. Вредности правилника живе у засебној грани која надјачава корисничке вредности које Windows обнавља сваки пут кад се адаптер поново повеже.
Трећи је услов потреба. Нека окружења заиста захтевају разрешавање назива и откривање кроз тунел, и таква желе уска правила заштитног зида за одређене адресе уместо целог адаптера премештеног у Приватно. Пребацивање категорије да би једна услуга прорадила начин је на који тунел на крају изложи више него што је намеравано.
Одговорите на три услова и избор се доноси сам. Два која упућују на правилник значе правилник, а један који упућује на једнократни тест значи локалну измену коју намеравате да одбаците.
Причврстите то, а затим прочитајте који профил важи
Локални безбедносни правилник приказује поставку у одељку Правилници за листу мрежа. Отворите secpol.msc, проширите тај чвор, отворите ставку за мрежу тунела, поставите врсту локације на Јавно и поставите корисничку дозволу тако да се локација не може променити. Те поставке завршавају у грани Правилници истог стабла, зато надјачавају корисничке вредности које поновно повезивање пребрише.
Јавно је обично исправно за VPN адаптер јер подразумевано блокира долазно дељење и откривање. То је опрезан избор за тунел који може завршити на неповерљивом сегменту, и касније се може ублажити посебним правилима уместо променом категорије. Проширење категорије да би се поправила једна услуга је замена коју није лако поништити. Правило се уклања у секундама.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, EnabledПрва наредба извештава о важећој категорији, а не о оној у дијалогу, и управо та вредност одређује понашање заштитног зида. Друга потврђује да је примењени профил омогућен и на који се заиста ослањате.
Обратите пажњу на то шта пар не доказује. Ниједна наредба не показује постоји ли одређено долазно правило, па услуга која још не одговара треба проверу правила, а не још једну промену категорије.
Када симптом није категорија
Мрежни показатељ може заостајати за везом, а старије верзије Windows-а имале су документовану грешку у којој се присилни тунелски VPN приказивао као Ограничен док је саобраћај текао, а паковане апликације одбијале су да га користе. Показатељ је био у криву; тунел је радио.
Зато тестирајте оно до чега је кориснику заиста стало, а не икону. Дођите до услуге по адреси, затим по називу, а затим кроз апликацију. Сваки корак раздваја усмеравање, разрешавање и правилник апликација, а категорија улази тек на кораку заштитног зида.
Ако је категорија исправна, а услуга и даље не успева, проверите обухват правила. Правило написано за профил Приватни престаје да одговара у тренутку кад је адаптер Јаван, и то је друга квара од правила које никада није створено.
Забележите намеравану категорију, да ли је наметнута правилником и адресе којима требају изузеци. Та белешка одговара на следећу пријаву о дељењима која нестају чињеницом о профилима и обухватима, а не новом теоријом о тунелу.
Одлука је мала, а последице нису. Категорија је бирач заштитног зида, и третирати је као козметику начин је на који радна услуга постаје загонетка.