Невідома мережа на VPN-адаптері Windows: що це означає

Windows показує Невідома мережа для кожного інтерфейсу, який не може віднести до розташування, і VPN-адаптер є звичайним кандидатом, бо часто не має власного шлюзу за замовчуванням. Мітка — це категорія брандмауера, а не твердження про те, чи тунель пройшов автентифікацію чи чи ваша програма чогось досягає. Ставитися до неї як до повідомлення про помилку — це шлях, яким люди доходять до скидання робочого адаптера і втрати сеансу, який був гаразд. Дві команди покажуть, чи мітка взагалі варта уваги.

Мітка — це категорія брандмауера, а не індикатор стану

Визначення розташування мережі вирішує, чи інтерфейс належить домену, приватній чи загальнодоступній мережі, а тоді брандмауер застосовує набір правил для цієї категорії. Невідома — це результат, коли класифікація не вдається, що зазвичай поміщає інтерфейс у загальнодоступний профіль. Саме загальнодоступний профіль за замовчуванням блокує більшість вхідного трафіку.

Загальнодоступний — це обмежувальний профіль, тож практичне питання в тому, чи ваша служба там дозволена. Тунель може бути цілком справним і все одно показувати мітку, бо класифікація залежить від форми інтерфейсу, а не від стану з'єднання.

Ця різниця пояснює найзаплутаніші звіти: спільний доступ до файлів, який учора працював, а сьогодні ні, на адаптері, який ніхто не змінював, бо правило було обмежене приватним профілем, а інтерфейс тепер у загальнодоступному.

Прочитайте три речі, перш ніж щось змінювати

Перевірте категорію, конфігурацію адреси та маршрут до призначення — саме в цьому порядку. Якщо ресурс працює, мітка для ваших цілей косметична, і чесна відповідь — залишити її як є.

Ці команди виводять поточний профіль, перелік інтерфейсів і конфігурацію одного адаптера:

Get-NetConnectionProfile
Get-NetAdapter | Format-Table Name,InterfaceIndex,Status
Get-NetIPConfiguration -InterfaceAlias "My VPN Adapter"

Індекс інтерфейсу важливий, бо командлети профілю звертаються до інтерфейсів за індексом, а в ноутбука з фізичним адаптером, адаптером Wi-Fi і тунелем їх три. Читання не того індексу дає впевнений діагноз мережі, якою ніхто не користується.

Чому адаптер узагалі виглядає невідомим

Класифікація шукає докази того, що інтерфейс десь перебуває: контролер домену, до якого він досягає, шлюз, що поводиться як домашня мережа, або розв'язувана ідентичність. В інтерфейсу тунелю часто немає ані запису шлюзу, ані широкомовного домену, тож перевіркам нема з чим працювати.

Клієнти повного тунелю іноді уникають мітки, призначаючи шлюз або несучи маршрут, яким може йти перевірка класифікації. Клієнти розділеного тунелю показують її частіше, бо тунель несе лише ті префікси, для яких налаштований, а решта трафіку виходить деінде.

Ніщо з цього не є дефектом. Це механізм класифікації описує інтерфейс, який не схожий на LAN, а тунель саме такий і є.

Мітка починає мати значення в політиці. Інструмент керування, агент кінцевої точки або правило брандмауера, що вибирає за профілем, трактуватиме невідомий інтерфейс як загальнодоступний, і виникле блокування реальне, навіть якщо причина — мітка.

Зміна категорії має наслідки

Позначення інтерфейсу як приватного — рішення про довіру, і воно застосовує набір приватних правил до трафіку, що надходить на цей адаптер. Якщо тунель закінчується в постачальника, яким ви не керуєте, або пристрій може приєднуватися до недовірених мереж, ця зміна розширює те, що доступне з цього інтерфейсу. Вона також робить пристрій видимим у сегменті мережі, яким ви можете не володіти. Це багато наслідків для косметичної мітки.

Широкий скрипт, який робить приватним кожен невідомий інтерфейс, гірший, бо застосовує ту саму довіру до адаптерів, які ви ніколи не оглядали. На керованому пристрої зміну може перезаписати політика під час наступного оновлення, і у вас залишиться виправлення, яке працює, доки не перестане.

Виправляйте збійний потік, а не назву

Почніть із конкретного збою: спільний ресурс не відкривається, сайт не завантажується, принтер не знаходиться. Потім розділіть причини — розв'язання імен, вибір маршруту, охоплення брандмауера й права користувача зазнають невдачі по-різному та дають різні повідомлення.

Якщо збій у назві, перевірте розв'язання саме з цього адаптера, а не з машини загалом. Якщо в маршруті, виведіть вибраний маршрут для точного призначення. Якщо в брандмауері, прочитайте чинний профіль і правило, яке має дозволяти трафік, і виріште, чи вузьке правило для програми краще за зміну категорії.

Лише після виключення цих трьох категорія стає ймовірною причиною, і навіть тоді виправлення має бути найменшим, яке змушує потрібний потік працювати. Мета — не більш знайома назва мережі, а робочий спільний ресурс за затвердженим правилом.