Dapat ba Privado o Pampubliko ang Iyong Windows VPN Adapter?

Ang pagtatakda ng Windows VPN adapter sa Privado ay tama para sa korporatibong tunnel at mali para sa komersyal na VPN client, at ang pagkakaiba ay hindi kosmetiko. Pinipili ng kategorya ng network ang isang firewall profile, kaya isang pagbabago lang ay tumatanggap ng buong hanay ng patakaran nang sabay. May nakita akong login script na nagtatakda sa bawat hindi kilalang adapter bilang Privado, na tahimik na naglantad ng file sharing sa wireless network ng hotel. Tatlong kundisyon ang nagpapasya sa sagot, at lahat ay dapat totoo bago mo hawakan ang setting.

Ano ang talagang pinagpapasyahan ng kategorya

Ang Network Location Awareness ay bumubuo ng lagda para sa bawat konektadong network mula sa maaaring iulat ng adapter: ang gateway address at MAC, ang DNS suffix, kung sumasagot ang domain controller at kung naaabot ng network ang internet. Ikinakabit ng Windows ang isang profile sa lagda, at ipinapatupad ng firewall ang hanay ng patakaran para sa profile na iyon. Ang Pampubliko ay ang reserba kapag nabigo ang pagkakakilanlan, kaya ang gumaganang tunnel ay maaari pa ring mamarkahan bilang hindi kilalang network.

Karaniwang kakaunti ang ibinibigay ng TUN o TAP adapter sa pagkakakilanlan. Ang kapareha sa tunnel ay madalas isang address lamang sa halip na gateway, ang DNS ay maaaring itulak lamang sa loob ng tunnel, at walang sariling default route ang adapter. Ang resultang label ay naglalarawan ng input ng firewall, hindi ng kalusugan ng tunnel, at iyon ang dahilan kung bakit ang mga patakaran ng pribadong profile ay tumitigil sa pagtutugma sa sandaling kumonekta ang VPN.

Unang kundisyon: ang tunnel ang mapagkakatiwalaang landas

Ang pagpili ng Privado ay nagsasaad na lahat ng naaabot sa pamamagitan ng interface na ito ay hindi bababa sa kasing mapagkakatiwalaan ng sarili mong LAN, dahil ituturing ng pagtuklas at mga papasok na patakaran ang subnet na iyon bilang lokal. Para sa korporatibong tunnel patungo sa pinamamahalaang subnet na may file server at printer, karaniwang totoo ang pahayag. Ang adapter ay pintuan patungo sa network na kontrolado ng iyong organisasyon, at ang makina sa kabilang dulo ay tinanggap ng parehong patakarang tumanggap sa iyo.

Hindi pumasa ang komersyal na VPN exit sa pagsubok na ito. Ibinabahagi ng ibang subscriber ang exit subnet, at ang pagmamarka nito bilang Privado ay naglalagay ng pagtuklas ng network, LLMNR at resolusyon ng pangalang NetBIOS sa segment na puno ng mga estranghero. Maaari ring mabigo ang split tunnel: kapag ang adapter ay may isang host route patungo sa isang application, walang mapagkakatiwalaang subnet na mapag-uusapan, at wala kang nakukuha sa pagbabago ng kategorya.

Ikalawang kundisyon: ang klasipikasyon ay tumatagal pagkatapos ng muling pagkonekta

Ang bagong gateway o DNS suffix ay gumagawa ng bagong lagda, at gumagawa ang Windows ng bagong desisyon sa profile para dito. Kaya ang isang beses na Set-NetConnectionProfile ay tumatagal hanggang sa susunod na pagkonekta, hindi magpakailanman. Suriin ang profile pagkatapos ng muling pagkonekta at hindi pagkatapos ng unang koneksyon, dahil doon bumabalik ang setting nang mag-isa.

May tatlong paraan upang gawin itong pangmatagalan. Ang pinakamalinis ay patakaran: buksan ang secpol.msc, pumunta sa Network List Manager Policies at itakda ang uri ng lokasyon para sa network, kasama ang patakaran para sa hindi kilalang network, upang maipatupad ang profile sa pamamagitan ng patakaran at hindi ng utos. Ang pangalawa ay script kada koneksyon o naka-iskedyul na gawain na nagpapatakbo ng PowerShell cmdlet kapag umangat ang tunnel. Ang pangatlo ay ang lumang pakulo sa ruta, na nagbibigay sa pagkakakilanlan ng gateway na susuriin:

route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfile

Ang pakulo sa ruta ay isang pag-iwas, hindi klasipikasyon. Nasira ito kapag nagbago ang ugnayan ng metric o isinulat muli ng VPN client ang mga ruta sa muling pagkonekta, at tahimik nitong binabago ang pagpili ng landas para sa lahat ng bumabagsak sa pangalawang default na ruta.

Ikatlong kundisyon: kailangan mo ang hanay ng pribadong patakaran

Ang Privado ay karaniwang may File and Printer Sharing, Network Discovery at mga grupo para sa remote administration. Kung ang gawain ay maabot ang SMB share o printer sa pamamagitan ng tunnel, iyon ang tunay na dahilan para baguhin ang kategorya. Kung ang gawain ay papalabas na pag-access sa isang web application, walang kinalaman ang kategorya: isulat ang papalabas na patakaran, panatilihing Pampubliko, at huminto doon.

Basahin ang talahanayan bilang panimulang punto, pagkatapos ay suriin kung aling pribadong patakaran ang aktwal na pinagana sa iyong image. Maaaring ganap na tinanggal ng hardened image ang file sharing mula sa pribadong profile, at sa ganoong kaso walang naaabot ang pagbabago ng kategorya hanggang sa ibalik mo ang patakaran. Isang utos lang ang halaga ng pagsusuring iyon at nakakatipid ng mahabang hapon.

Gawin ang pagbabago nang hindi pinalalawak ang lahat ng iba

Itutok sa index ng interface, hindi sa wildcard, at basahin ang listahan bago at pagkatapos:

Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfile

Ang mga naka-save na profile ay nasa ilalim ng NetworkList key sa registry, kung saan hinahati ng value na Category ang pampubliko, pribado at domain na network. Posibleng i-edit ito at madaling magkamali: dapat mong baguhin ang entry na tumutugma sa kasalukuyang lagda ng adapter, hindi ang lumang entry na iniwan ng dating address. Ang lipas na entry ay mukhang tama sa editor at walang ginagawa sa muling pagkonekta.

Anuman ang gawin mo, huwag ilabas ang script na nagtatakda sa bawat hindi kilalang adapter bilang Privado. Iyon ang isang-linyang bersyon ng pagbubukas ng pagtuklas sa hindi mapagkakatiwalaang wireless. Kung kailangan mo lamang ng sharing sa subnet ng tunnel, panatilihing Pampubliko ang profile at magdagdag ng limitadong papasok na patakaran para sa malayong hanay ng address ng tunnel; ang patakaran ng firewall ay mas makitid kaysa sa kategorya.

I-verify ang share, hindi ang label

Pagkatapos ng pagbabago, subukan ang resource mismo sa halip na umasa sa label:

Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.example

Kung nabigo pa rin ang share habang nagpapakita ang adapter ng Privado, ang kategorya ay hindi na ang problema mo. Ang resolusyon ng pangalan, nawawalang ruta o mga pahintulot sa share ay magbubunga ng parehong sintomas, at ang isa pang pagbabago ng profile ay hindi makakapag-ayos ng alinman sa mga iyon. Muling kumonekta nang isang beses at patakbuhin muli ang Get-NetConnectionProfile upang kumpirmahin na nanatili ang setting, pagkatapos ay asikasuhin ang natitirang kabiguan bilang ordinaryong problema sa SMB.

Checklist: kumpirmahin na ang tunnel ay pinamamahalaang landas, ang profile ay tumatagal pagkatapos ng muling pagkonekta, ang mga kailangang pribadong patakaran ay naroroon sa image at ang share ay niresolba at tumutugon sa port 445. Kung alinman sa unang tatlo ay mali, iwanan ang adapter sa Pampubliko at lutasin ang problema sa pag-access gamit ang limitadong patakaran.