Varför en VPN-adapter ständigt hamnar i arbetsprofilen

Anslut företagets tunnel och den bärbara datorn byter tyst karaktär. Fildelning stannar, namnbläddring misslyckas, ett program som brukade lyssna slutar lyssna, och Inställningar visar anslutningen som Arbete eller Oidentifierat. Det finns tre sätt att låsa den klassningen, och valet mellan dem beror på om enheten är hanterad, om etiketten fortsätter att återgå och om något verkligen behöver upptäckt på den adaptern.

Vad etiketten egentligen styr

Windows grupperar varje nätverk i en kategori och väljer en brandväggsprofil utifrån den. Den offentliga profilen nekar inkommande delning, upptäckt samt fil- och skrivarportar innan någon regel du lägger till ens läses, medan Privat tillåter mer. Program som kontrollerar kategorin innan de exponerar en tjänst ser samma värde.

Det är ett principval, inte ett routingbeslut. En adress kan vara fullt nåbar och ändå nekas eftersom den gällande profilen inte innehåller någon matchande regel, och ingen routingreparation ändrar det. Två olika frågor, två olika verktyg. Att blanda dem är den vanligaste orsaken till att en lösning verkar fungera och sedan slutar.

Kategorin lagras per nätverk, och nätverket identifieras av en signatur. På ett vanligt LAN omfattar signaturen standardgatewayens hårdvaruadress och anslutningens DNS-suffix, och en VPN-adapter saknar vanligen båda. En svag signatur innebär att samma tunnel kan se ut som ett nytt nätverk efter en klientuppdatering.

Därför verkar etiketten ändra sig av sig själv. Windows är inte nyckfullt; det misslyckas med att känna igen tunneln som det nätverk det klassade förra veckan.

Tre villkor som avgör tillvägagångssättet

Det första villkoret är ägarskap. På en hanterad bärbar dator är inställningen ofta låst, och en lokal ändring skrivs över vid nästa principuppdatering. Att kämpa emot det kostar en eftermiddag; principen är den kanal som stöds och den enda som håller.

Det andra villkoret är återkomsten. Om etiketten har återgått mer än en gång byggs värdet per nätverk upp igen från en signatur som ändrats, och att redigera det på nytt håller inte. Principvärden ligger i en separat gren som överordnas de användarvärden som Windows bygger upp varje gång adaptern återansluts.

Det tredje villkoret är behovet. Vissa miljöer kräver verkligen namnmatchning och upptäckt genom tunneln, och de vill ha snäva brandväggsregler för specifika adresser i stället för en hel adapter flyttad till Privat. Att byta kategori för att få en tjänst att fungera är hur en tunnel slutar med att exponera mer än avsett.

Svara på de tre villkoren och valet görs åt dig. Två som pekar på princip betyder princip, och en som pekar på ett engångstest betyder en lokal ändring du tänker kasta.

Lås det, och läs sedan av vilken profil som gäller

Lokal säkerhetsprincip visar inställningen under Principer för nätverkslistan. Öppna secpol.msc, expandera den noden, öppna posten för tunnelns nätverk, ställ platsens typ på Offentlig och ställ användarbehörigheten så att platsen inte kan ändras. De inställningarna hamnar i grenen Principer i samma träd, och därför överordnas de användarvärden som en återanslutning skriver om.

Offentlig är vanligtvis rätt för en VPN-adapter, eftersom den som standard blockerar inkommande delning och upptäckt. Det är det försiktiga valet för en tunnel som kan hamna på ett icke betrott segment, och den kan senare luckras upp med specifika regler i stället för med ett kategoribyte. Att vidga kategorin för att laga en tjänst är en affär du inte lätt kan ångra. En regel tas bort på sekunder.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Det första kommandot rapporterar den gällande kategorin och inte den i dialogrutan, och det är det värdet som avgör brandväggens beteende. Det andra bekräftar att profilen som tillämpas är aktiverad och vilken du faktiskt förlitar dig på.

Notera vad paret inte bevisar. Inget av kommandona visar om en specifik inkommande regel finns, så en tjänst som fortfarande inte svarar behöver en regelkontroll och inte ännu en kategoriändring.

När symtomet inte är kategorin

En nätverksindikator kan släpa efter anslutningen, och äldre Windows-versioner hade en dokumenterad defekt där en påtvingad tunnel-VPN visades som Begränsad medan trafiken flöt och paketerade program vägrade använda den. Indikatorn hade fel; tunneln fungerade.

Testa alltså det användaren faktiskt bryr sig om i stället för ikonen. Nå tjänsten via adress, sedan via namn och sedan genom programmet. Varje steg skiljer routing, upplösning och programprincip åt, och kategorin kommer in först i brandväggssteget.

Om kategorin är korrekt och tjänsten ändå misslyckas, kontrollera reglernas omfattning. En regel skriven för profilen Privat slutar matcha i samma ögonblick som adaptern är Offentlig, och det är ett annat fel än en regel som aldrig skapades.

Anteckna den avsedda kategorin, om den genomdrivs av princip och de adresser som behöver undantag. Den anteckningen besvarar nästa rapport om försvinnande delningar med ett faktum om profiler och omfattningar i stället för ännu en teori om tunneln.

Beslutet är litet och konsekvenserna är det inte. En kategori är en brandväggsväljare, och att behandla den som kosmetika är hur en fungerande tjänst blir ett mysterium.