Windows VPN bağdaştırıcısı özel mi yoksa genel mi olmalı?
Üç testle bir Windows VPN bağdaştırıcısının özel profile ait olup olmadığına karar verin: güvenilir yol, kararlı sınıflandırma ve gerçekten ihtiyaç duyduğunuz kurallar.
Windows VPN bağdaştırıcısını Özel olarak ayarlamak kurumsal bir tünel için doğru, ticari bir VPN istemcisi için yanlıştır ve fark yalnızca görünüşte değildir. Ağ kategorisi bir güvenlik duvarı profili seçer, bu yüzden tek bir değişiklik bir anda bütün bir kural kümesini kabul eder. Bir oturum açma betiğinin her tanımlanmamış bağdaştırıcıyı Özel yaptığını gördüm; bu, bir otelin kablosuz ağında dosya paylaşımını sessizce açığa çıkardı. Cevabı üç koşul belirler ve ayara dokunmadan önce hepsinin doğru olması gerekir.
Kategori gerçekte neyi belirler
Network Location Awareness, bağdaştırıcının bildirebildiği bilgilerden her bağlı ağ için bir imza oluşturur: ağ geçidi adresi ve MAC, DNS son eki, bir etki alanı denetleyicisinin yanıt verip vermediği ve ağın internete ulaşıp ulaşmadığı. Windows bu imzaya bir profil bağlar, ardından güvenlik duvarı o profilin kural kümesini uygular. Kimlik belirleme başarısız olduğunda Genel yedek seçenektir; bu yüzden çalışan bir tünel hâlâ tanımlanmamış ağ olarak etiketlenebilir.
TUN veya TAP bağdaştırıcısı kimlik belirlemeye genellikle çok az bilgi verir. Tünel ortağı çoğu zaman bir ağ geçidi değil tek bir adrestir, DNS yalnızca tünelin içinde iletilebilir ve bağdaştırıcının kendi varsayılan yolu yoktur. Ortaya çıkan etiket güvenlik duvarının girişini tanımlar, tünelin sağlığını değil; bu yüzden özel profil kuralları VPN bağlandığı anda eşleşmeyi bırakır.
Birinci koşul: tünel güvenilir yoldur
Özel seçmek, bu arabirim üzerinden erişilebilen her şeyin en azından kendi LAN'ınız kadar güvenilir olduğunu ileri sürer, çünkü keşif ve gelen kurallar bu alt ağı yerel sayacaktır. Dosya sunucuları ve yazıcıları olan yönetilen bir alt ağa kurumsal tünel için bu iddia genellikle geçerlidir. Bağdaştırıcı, kuruluşunuzun denetlediği bir ağa açılan kapıdır ve karşı taraftaki makine, sizinkini kabul eden aynı ilkeyle kabul edilmiştir.
Ticari bir VPN çıkışı bu testi geçmez. Diğer aboneler çıkış alt ağını paylaşır ve onu Özel olarak işaretlemek ağ keşfini, LLMNR'yi ve NetBIOS ad çözümlemesini yabancılarla dolu bir segmentte bırakır. Bölünmüş tünel de başarısız olabilir: bağdaştırıcı tek bir uygulamaya tek bir ana bilgisayar yolu taşıdığında, söz edilecek güvenilir bir alt ağ yoktur ve kategori değişikliği size hiçbir şey kazandırmaz.
İkinci koşul: sınıflandırma yeniden bağlanmalara dayanır
Yeni bir ağ geçidi veya DNS son eki yeni bir imza üretir ve Windows bunun için yeni bir profil kararı verir. Bu yüzden bir kerelik Set-NetConnectionProfile bir sonraki yeniden bağlanmaya kadar geçerlidir, sonsuza kadar değil. Profili ilk bağlantıdan sonra değil yeniden bağlanmadan sonra kontrol edin, çünkü ayar tam o zaman kendiliğinden geri döner.
Bunu kalıcı yapmanın üç yolu vardır. En temizi ilkedir: secpol.msc öğesini açın, Network List Manager Policies bölümüne gidin ve tanımlanmamış ağlar ilkesi dahil olmak üzere ağ için konum türünü ayarlayın, böylece profil bir komutla değil ilkeyle uygulanır. İkincisi, tünel kalktıktan sonra PowerShell cmdlet'ini çalıştıran bağlantı başına bir betik veya zamanlanmış görevdir. Üçüncüsü, kimlik belirlemeye denetlemesi için bir ağ geçidi veren eski yol hilesidir:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileYol hilesi bir dolambaçtır, sınıflandırma değil. Metrik ilişkisi değiştiğinde veya VPN istemcisi yeniden bağlanmada yolları yeniden yazdığında bozulur ve ikinci varsayılan yola düşen her şeyin yol seçimini sessizce değiştirir.
Üçüncü koşul: özel kural kümesine ihtiyacınız var
Özel genellikle Dosya ve Yazıcı Paylaşımını, Ağ Keşfini ve uzaktan yönetim gruplarını taşır. Görev tünel üzerinden bir SMB paylaşımına veya yazıcıya ulaşmaksa, kategoriyi değiştirmenin gerçek nedeni budur. Görev tek bir web uygulamasına giden dış erişimse kategori ilgisizdir: dış kuralı yazın, Genel olarak bırakın ve orada durun.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Tabloyu başlangıç noktası olarak okuyun, sonra görüntünüzde hangi özel kuralların gerçekten etkin olduğunu kontrol edin. Sertleştirilmiş bir görüntü dosya paylaşımını özel profilden tamamen kaldırmış olabilir; bu durumda kuralı geri ekleyene kadar kategori değişikliği hiçbir şey başarmaz. Bu kontrol tek bir komuta mal olur ve uzun bir öğleden sonrayı kurtarır.
Değişikliği diğer her şeyi genişletmeden yapmak
Joker karaktere değil arabirim dizinine hedefleyin ve listeyi önce ve sonra okuyun:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileKayıtlı profiller kayıt defterindeki NetworkList anahtarının altında yaşar; Category değeri genel, özel ve etki alanı ağlarını ayırır. Düzenlemek mümkündür ve yanlış yapmak kolaydır: bağdaştırıcının güncel imzasıyla eşleşen girdiyi değiştirmelisiniz, önceki bir adresin bıraktığı daha eski girdiyi değil. Eski bir girdi düzenleyicide doğru görünür ve yeniden bağlanmada hiçbir şey yapmaz.
Ne yaparsanız yapın, her tanımlanmamış bağdaştırıcıyı Özel yapan bir betik yayımlamayın. Bu, güvenilmeyen kablosuzda keşfi açmanın tek satırlık sürümüdür. Paylaşım yalnızca tünelin alt ağıyla gerekiyorsa profili Genel bırakın ve tünelin uzak adres aralığıyla sınırlı gelen kuralları ekleyin; güvenlik duvarı kuralı kategoriden daha dardır.
Etiketi değil paylaşımı doğrulayın
Değişiklikten sonra etikete güvenmek yerine kaynağın kendisini test edin:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleBağdaştırıcı Özel gösterirken paylaşım hâlâ başarısız oluyorsa kategori artık sizin sorununuz değildir. Ad çözümlemesi, eksik bir yol veya paylaşım izinleri aynı belirtiyi üretecektir ve profili bir kez daha değiştirmek bunlardan hiçbirini onaramaz. Bir kez yeniden bağlanın ve ayarın korunduğunu doğrulamak için Get-NetConnectionProfile öğesini yeniden çalıştırın, ardından kalan hatayı normal bir SMB sorunu olarak ele alın.
Kontrol listesi: tünelin yönetilen bir yol olduğunu, profilin yeniden bağlanmaya dayandığını, gereken özel kuralların görüntüde bulunduğunu ve paylaşımın çözümlenip 445 numaralı bağlantı noktasında yanıt verdiğini doğrulayın. İlk üçünden herhangi biri yanlışsa bağdaştırıcıyı Genel bırakın ve erişim sorununu sınırlı bir kuralla çözün.