Bir VPN bağdaştırıcısı neden hep iş profilinde kalır
Windows, güvenlik duvarı profilini VPN bağdaştırıcısındaki zayıf bir imzaya bağlar. Konumu ilkeyle sabitleyin, ardından hangi profilin gerçekten yürürlükte olduğunu doğrulayın.
Kurumsal tünele bağlanın, dizüstü bilgisayar sessizce karakter değiştirir. Dosya paylaşımı durur, ada göre göz atma başarısız olur, önceden dinleyen bir uygulama artık dinlemez ve Ayarlar bağlantıyı İş veya Tanımlanmamış olarak gösterir. Bu sınıflandırmayı sabitlemenin üç yolu vardır ve aralarındaki seçim cihazın yönetilip yönetilmediğine, etiketin yeniden geri dönüp dönmediğine ve o bağdaştırıcıda gerçekten keşif gerektiren bir şey olup olmadığına bağlıdır.
Etiketin gerçekte neyi denetlediği
Windows her ağı bir kategoriye gruplar ve ondan bir güvenlik duvarı profili seçer. Genel profil, eklediğiniz herhangi bir kural hiç dikkate alınmadan önce gelen paylaşımı, keşfi ve dosya ile yazıcı bağlantı noktalarını reddederken Özel profil daha fazlasına izin verir. Bir hizmeti sunmadan önce kategoriyi denetleyen uygulamalar aynı değeri görür.
Bu bir ilke seçimidir, yönlendirme kararı değil. Bir adres tamamen erişilebilir olabilir ve yine de reddedilebilir, çünkü yürürlükteki profil eşleşen bir kural içermez ve hiçbir yol onarımı bunu değiştirmez. İki farklı soru, iki farklı araç. Bunları karıştırmak, bir düzeltmenin çalışıyor görünüp sonra durmasının en yaygın nedenidir.
Kategori her ağ için saklanır ve ağ bir imzayla tanımlanır. Sıradan bir yerel ağda bu imza, varsayılan ağ geçidinin donanım adresini ve bağlantının DNS son ekini içerir; bir VPN bağdaştırıcısında ise genellikle ikisi de yoktur. Zayıf imza, aynı tünelin bir istemci güncellemesinden sonra yeni bir ağ gibi görünebileceği anlamına gelir.
Etiketin kendi kendine değişiyor görünmesinin nedeni budur. Windows kaprisli değildir; tüneli geçen hafta sınıflandırdığı ağ olarak tanıyamıyordur.
Yaklaşımı belirleyen üç koşul
İlk koşul sahipliktir. Yönetilen bir dizüstünde ayar genellikle kilitlidir ve yerel bir değişiklik bir sonraki ilke yenilemesinde üzerine yazılır. Bununla savaşmak bir öğleden sonraya mal olur; ilke desteklenen kanaldır ve kalıcı olan tek kanaldır.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
İkinci koşul yinelemedir. Etiket birden fazla kez geri döndüyse, ağ başına değer değişmiş bir imzadan yeniden oluşturulur ve yeniden düzenlemek kalıcı olmaz. İlke değerleri, bağdaştırıcı her yeniden bağlandığında Windows'un yeniden oluşturduğu kullanıcı başına değerlerden üstün olan ayrı bir dalda yaşar.
Üçüncü koşul gereksinimdir. Bazı ortamlar tünel üzerinden ad çözümlemesini ve keşfi gerçekten gerektirir ve bunlar tüm bağdaştırıcıyı Özel'e taşımak yerine belirli adresler için dar güvenlik duvarı kuralları ister. Bir hizmet çalışsın diye kategoriyi değiştirmek, bir tünelin sonunda amaçlanandan fazlasını açığa çıkarma biçimidir.
Üç koşulu yanıtlayın, seçim kendiliğinden yapılır. İlkeye işaret eden iki tanesi ilke demektir ve tek seferlik bir teste işaret eden bir tanesi atmak istediğiniz yerel bir değişiklik demektir.
Sabitleyin, sonra hangi profilin yürürlükte olduğunu okuyun
Yerel güvenlik ilkesi ayarı Ağ listesi ilkeleri altında gösterir. secpol.msc dosyasını açın, o düğümü genişletin, tünelin ağı için girdiyi açın, konum türünü Genel olarak ayarlayın ve kullanıcı iznini konum değiştirilemeyecek biçimde ayarlayın. Bu ayarlar aynı ağacın İlkeler dalına iner, bu yüzden yeniden bağlanmanın üzerine yazdığı kullanıcı başına değerlerden üstündür.
Genel, bir VPN bağdaştırıcısı için genellikle doğrudur, çünkü varsayılan olarak gelen paylaşımı ve keşfi engeller. Güvenilmeyen bir kesime düşebilecek bir tünel için ihtiyatlı seçim budur ve sonradan kategori değiştirmek yerine belirli kurallarla gevşetilebilir. Kategoriyi bir hizmeti onarmak için genişletmek, geri alınması kolay olmayan bir takastır. Bir kural saniyeler içinde kaldırılır.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabledİlk komut, iletişim kutusundaki değil yürürlükteki kategoriyi bildirir ve güvenlik duvarı davranışını belirleyen değer odur. İkincisi, uygulanan profilin etkin olduğunu ve gerçekte hangisine güvendiğinizi doğrular.
Bu çiftin neyi kanıtlamadığına dikkat edin. Komutların hiçbiri belirli bir gelen kuralın var olup olmadığını göstermez, bu yüzden hâlâ yanıt vermeyen bir hizmet için bir kural denetimi gerekir, bir kategori değişikliği daha değil.
Belirti kategori olmadığında
Bir ağ göstergesi bağlantının gerisinde kalabilir ve eski Windows sürümlerinde, zorunlu tünel VPN'i trafik akarken Sınırlı görünürken paketlenmiş uygulamaların onu kullanmayı reddettiği belgelenmiş bir kusur vardı. Gösterge yanılıyordu; tünel çalışıyordu.
Bu yüzden simge yerine kullanıcının gerçekten önemsediği şeyi test edin. Hizmete adresle, sonra adla, sonra uygulama üzerinden ulaşın. Her adım yönlendirmeyi, çözümlemeyi ve uygulama ilkesini ayırır ve kategori yalnızca güvenlik duvarı adımında devreye girer.
Kategori doğruysa ve hizmet hâlâ başarısız oluyorsa kuralların kapsamını denetleyin. Özel profil için yazılmış bir kural, bağdaştırıcı Genel olduğu anda eşleşmeyi bırakır ve bu, hiç oluşturulmamış bir kuraldan farklı bir arızadır.
Amaçlanan kategoriyi, ilkeyle zorlanıp zorlanmadığını ve istisna gerektiren adresleri kaydedin. Bu not, kaybolan paylaşımlarla ilgili bir sonraki bildirime tünel hakkında yeni bir teori yerine profiller ve kapsamlar hakkında bir olguyla yanıt verir.
Karar küçük, sonuçları değil. Kategori bir güvenlik duvarı seçicisidir ve ona kozmetik bir şey gibi davranmak, çalışan bir hizmetin gizeme dönüşme biçimidir.