ทำไมอะแดปเตอร์ VPN จึงไปลงเอยในโปรไฟล์งานเสมอ
Windows ผูกโปรไฟล์ไฟร์วอลล์กับลายเซ็นที่อ่อนแอบนอะแดปเตอร์ VPN ปักหมุดตำแหน่งด้วยนโยบาย แล้วยืนยันว่าโปรไฟล์ใดมีผลจริง
เชื่อมต่ออุโมงค์ขององค์กรแล้วแล็ปท็อปก็เปลี่ยนลักษณะอย่างเงียบ ๆ การแชร์ไฟล์หยุด การเรียกดูตามชื่อล้มเหลว แอปที่เคยฟังอยู่ก็เลิกฟัง และการตั้งค่าแสดงการเชื่อมต่อเป็นงานหรือไม่ระบุตัวตน มีสามวิธีในการปักหมุดการจำแนกนั้น และการเลือกระหว่างวิธีเหล่านั้นขึ้นอยู่กับว่าอุปกรณ์ถูกจัดการหรือไม่ ป้ายกำกับยังวนกลับมาหรือไม่ และมีสิ่งใดบนอะแดปเตอร์นั้นที่ต้องการการค้นพบจริงหรือไม่
ป้ายกำกับควบคุมอะไรจริง
Windows จัดกลุ่มแต่ละเครือข่ายเป็นหมวดหมู่และเลือกโปรไฟล์ไฟร์วอลล์จากหมวดนั้น โปรไฟล์สาธารณะปฏิเสธการแชร์ขาเข้า การค้นพบ และพอร์ตไฟล์กับเครื่องพิมพ์ก่อนที่กฎใด ๆ ที่คุณเพิ่มจะถูกพิจารณา ขณะที่ส่วนตัวอนุญาตมากกว่า แอปที่ตรวจสอบหมวดหมู่ก่อนเปิดเผยบริการจะเห็นค่าเดียวกัน
นี่คือการเลือกนโยบาย ไม่ใช่การตัดสินใจเกี่ยวกับเส้นทาง ที่อยู่หนึ่งอาจเข้าถึงได้อย่างสมบูรณ์และยังถูกปฏิเสธเพราะโปรไฟล์ที่บังคับใช้ไม่มีกฎที่ตรงกัน และการซ่อมเส้นทางใด ๆ ก็ไม่เปลี่ยนสิ่งนั้น สองคำถามที่ต่างกัน สองเครื่องมือที่ต่างกัน การผสมทั้งสองเข้าด้วยกันเป็นสาเหตุที่พบบ่อยที่สุดที่การแก้ไขดูเหมือนได้ผลแล้วก็หยุด
หมวดหมู่ถูกเก็บไว้ต่อเครือข่าย และเครือข่ายถูกระบุด้วยลายเซ็น ในเครือข่ายท้องถิ่นทั่วไปลายเซ็นนั้นประกอบด้วยที่อยู่ฮาร์ดแวร์ของเกตเวย์เริ่มต้นและส่วนต่อท้าย DNS ของการเชื่อมต่อ ซึ่งอะแดปเตอร์ VPN มักขาดทั้งสองอย่าง ลายเซ็นที่อ่อนแอหมายความว่าอุโมงค์เดียวกันอาจดูเหมือนเครือข่ายใหม่หลังการอัปเดตไคลเอนต์
นั่นคือเหตุผลที่ป้ายกำกับดูเหมือนเปลี่ยนเอง Windows ไม่ได้เอาแต่ใจ แต่ล้มเหลวในการจำอุโมงค์ว่าเป็นเครือข่ายที่มันจำแนกไว้เมื่อสัปดาห์ก่อน
สามเงื่อนไขที่กำหนดแนวทาง
เงื่อนไขแรกคือความเป็นเจ้าของ บนแล็ปท็อปที่ถูกจัดการ การตั้งค่ามักถูกล็อก และการแก้ไขในเครื่องจะถูกเขียนทับในการรีเฟรชนโยบายครั้งถัดไป การต่อสู้กับสิ่งนั้นคือการเสียเวลาหนึ่งบ่าย นโยบายคือช่องทางที่ได้รับการสนับสนุนและเป็นช่องทางเดียวที่คงอยู่
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
เงื่อนไขที่สองคือการเกิดซ้ำ หากป้ายกำกับย้อนกลับมากกว่าหนึ่งครั้ง ค่าต่อเครือข่ายกำลังถูกสร้างใหม่จากลายเซ็นที่เปลี่ยนไป และการแก้ไขอีกครั้งจะไม่คงอยู่ ค่านโยบายอยู่ในสาขาแยกที่เหนือกว่าค่าต่อผู้ใช้ที่ Windows สร้างใหม่ทุกครั้งที่อะแดปเตอร์เชื่อมต่ออีกครั้ง
เงื่อนไขที่สามคือความจำเป็น บางสภาพแวดล้อมต้องการการแปลงชื่อและการค้นพบผ่านอุโมงค์จริง ๆ และต้องการกฎไฟร์วอลล์แคบ ๆ สำหรับที่อยู่เฉพาะแทนการย้ายอะแดปเตอร์ทั้งตัวไปเป็นส่วนตัว การเปลี่ยนหมวดหมู่เพื่อให้บริการหนึ่งทำงานคือวิธีที่อุโมงค์ลงเอยด้วยการเปิดเผยมากกว่าที่ตั้งใจ
ตอบสามเงื่อนไขแล้วการเลือกจะชัดเจนเอง สองข้อที่ชี้ไปที่นโยบายหมายถึงนโยบาย และข้อที่ชี้ไปที่การทดสอบครั้งเดียวหมายถึงการแก้ไขในเครื่องที่คุณตั้งใจจะทิ้ง
ปักหมุดไว้ แล้วอ่านว่าโปรไฟล์ใดมีผล
นโยบายความปลอดภัยภายในเครื่องแสดงการตั้งค่าภายใต้นโยบายรายการเครือข่าย เปิด secpol.msc ขยายโหนดนั้น เปิดรายการสำหรับเครือข่ายของอุโมงค์ ตั้งประเภทตำแหน่งเป็นสาธารณะ และตั้งสิทธิ์ผู้ใช้เพื่อให้เปลี่ยนตำแหน่งไม่ได้ การตั้งค่าเหล่านั้นไปอยู่ในสาขานโยบายของทรีเดียวกัน ซึ่งเป็นเหตุผลที่มันเหนือกว่าค่าต่อผู้ใช้ที่การเชื่อมต่อใหม่เขียนทับ
สาธารณะมักถูกต้องสำหรับอะแดปเตอร์ VPN เพราะบล็อกการแชร์ขาเข้าและการค้นพบโดยค่าเริ่มต้น นั่นคือทางเลือกที่ระมัดระวังสำหรับอุโมงค์ที่อาจไปตกในเซกเมนต์ที่ไม่น่าเชื่อถือ และภายหลังสามารถผ่อนได้ด้วยกฎเฉพาะแทนการเปลี่ยนหมวดหมู่ การขยายหมวดหมู่เพื่อซ่อมบริการหนึ่งคือการแลกเปลี่ยนที่ย้อนกลับได้ยาก กฎหนึ่งถูกลบได้ในไม่กี่วินาที
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabledคำสั่งแรกรายงานหมวดหมู่ที่บังคับใช้ ไม่ใช่หมวดหมู่ในกล่องโต้ตอบ และค่านั้นคือสิ่งที่กำหนดพฤติกรรมของไฟร์วอลล์ คำสั่งที่สองยืนยันว่าโปรไฟล์ที่นำไปใช้เปิดใช้งานอยู่ และคุณกำลังพึ่งพาโปรไฟล์ใดจริง
สังเกตว่าคู่นี้ไม่ได้พิสูจน์อะไร ไม่มีคำสั่งใดแสดงว่ามีกฎขาเข้าเฉพาะอยู่หรือไม่ ดังนั้นบริการที่ยังไม่ตอบสนองต้องตรวจสอบกฎ ไม่ใช่เปลี่ยนหมวดหมู่อีกครั้ง
เมื่ออาการไม่ใช่หมวดหมู่
ตัวชี้วัดเครือข่ายอาจล่าช้ากว่าการเชื่อมต่อ และ Windows เวอร์ชันเก่ามีข้อบกพร่องที่บันทึกไว้ซึ่ง VPN แบบอุโมงค์บังคับแสดงเป็นจำกัดในขณะที่ทราฟฟิกไหลอยู่และแอปที่แพ็กเกจไว้ปฏิเสธที่จะใช้มัน ตัวชี้วัดผิด อุโมงค์ทำงานอยู่
ดังนั้นทดสอบสิ่งที่ผู้ใช้สนใจจริงไม่ใช่ไอคอน เข้าถึงบริการด้วยที่อยู่ จากนั้นด้วยชื่อ จากนั้นผ่านแอป แต่ละขั้นแยกเส้นทาง การแปลงชื่อ และนโยบายแอปออกจากกัน และหมวดหมู่เข้ามาเฉพาะในขั้นไฟร์วอลล์
หากหมวดหมู่ถูกต้องและบริการยังล้มเหลว ให้ตรวจสอบขอบเขตกฎ กฎที่เขียนสำหรับโปรไฟล์ส่วนตัวหยุดตรงกันในทันทีที่อะแดปเตอร์เป็นสาธารณะ และนั่นเป็นข้อบกพร่องที่ต่างจากกฎที่ไม่เคยถูกสร้าง
บันทึกหมวดหมู่ที่ตั้งใจ ว่าได้รับการบังคับใช้โดยนโยบายหรือไม่ และที่อยู่ที่ต้องการข้อยกเว้น บันทึกนั้นจะตอบรายงานถัดไปเกี่ยวกับการแชร์ที่หายไปด้วยข้อเท็จจริงเกี่ยวกับโปรไฟล์และขอบเขต ไม่ใช่ทฤษฎีอีกเรื่องเกี่ยวกับอุโมงค์
การตัดสินใจเล็ก แต่ผลลัพธ์ไม่เล็ก หมวดหมู่คือตัวเลือกของไฟร์วอลล์ และการปฏิบัติต่อมันเป็นเรื่องเครื่องสำอางคือวิธีที่บริการที่ทำงานอยู่กลายเป็นปริศนา