Чому VPN-адаптер знову потрапляє в робочий профіль
Windows прив’язує профіль брандмауера до слабкого підпису VPN-адаптера. Закріпіть розташування політикою, а потім перевірте, який профіль справді діє.
Підключіть корпоративний тунель, і ноутбук тихо змінює характер. Спільний доступ до файлів зупиняється, перегляд за назвою не працює, застосунок, який раніше слухав порт, перестає слухати, а Параметри показують підключення як Робоча або Неопізнана мережа. Закріпити цю класифікацію можна трьома способами, і вибір між ними залежить від того, чи керується пристрій, чи мітка знову повертається і чи потрібне на цьому адаптері щось, що справді вимагає виявлення.
Що насправді керує міткою
Windows відносить кожну мережу до категорії й вибирає з неї профіль брандмауера. Загальнодоступний профіль відхиляє вхідний спільний доступ, виявлення та порти файлів і принтерів ще до того, як буде розглянуто хоч одне додане вами правило, а Приватний дозволяє більше. Застосунки, які перевіряють категорію перед публікацією служби, бачать те саме значення.
Це вибір політики, а не рішення про маршрутизацію. Адреса може бути цілком доступною і все одно відхиленою, бо чинний профіль не містить відповідного правила, і жоден ремонт маршрутів цього не змінить. Два різні питання, два різні інструменти. Їх змішування — найчастіша причина, чому виправлення ніби працює, а потім перестає.
Категорія зберігається для кожної мережі, а мережа визначається підписом. У звичайній локальній мережі такий підпис містить апаратну адресу шлюзу за замовчуванням і DNS-суфікс підключення, а у VPN-адаптера зазвичай немає ні того, ні іншого. Слабкий підпис означає, що той самий тунель після оновлення клієнта може виглядати як нова мережа.
Тому здається, що мітка змінюється сама. Windows не вередує; вона просто не впізнає тунель як мережу, яку класифікувала минулого тижня.
Три умови, що визначають підхід
Перша умова — належність. На керованому ноутбуці параметр часто заблокований, і локальну зміну буде перезаписано під час наступного оновлення політики. Боротьба з цим коштує дня; політика — це підтримуваний канал і єдиний, що тримається.
| Approach | Choose it when | What it costs |
|---|---|---|
| Policy via Local Security Policy | The device is managed, or the label must survive reconnects | Requires administrator rights and a policy you can document |
| Editing the profile registry values | You need a one-off on a machine you control | Reverts when the signature changes, and can conflict with policy |
| Leaving it automatic | Nothing on that adapter needs sharing or discovery | A firewall profile that may not match your rule scoping |
Друга умова — повторюваність. Якщо мітка поверталася більше одного разу, значення для мережі перебудовується зі зміненого підпису, і повторне редагування не втримається. Значення політики живуть в окремій гілці, яка перекриває користувацькі значення, що Windows перебудовує щоразу, коли адаптер підключається знову.
Третя умова — потреба. Деяким середовищам справді потрібні розв’язання імен і виявлення через тунель, і їм потрібні вузькі правила брандмауера для конкретних адрес, а не перенесення всього адаптера в Приватний. Перемикання категорії заради однієї робочої служби — це шлях, яким тунель зрештою розкриває більше, ніж задумано.
Дайте відповідь на три умови, і вибір зробиться сам. Дві, що вказують на політику, означають політику, а одна, що вказує на разову перевірку, означає локальну зміну, яку ви збираєтеся відкинути.
Закріпіть це, а потім прочитайте, який профіль діє
Локальна політика безпеки показує параметр у розділі Політики списку мереж. Відкрийте secpol.msc, розгорніть цей вузол, відкрийте запис для мережі тунелю, задайте тип розташування «Загальнодоступний» і налаштуйте дозвіл користувача так, щоб розташування не можна було змінити. Ці параметри потрапляють у гілку «Політики» того самого дерева, тому вони перекривають користувацькі значення, які перезаписує повторне підключення.
Загальнодоступний зазвичай правильний для VPN-адаптера, бо за замовчуванням блокує вхідний спільний доступ і виявлення. Це обережний вибір для тунелю, який може опинитися в недовіреному сегменті, і згодом його можна послабити точковими правилами замість зміни категорії. Розширення категорії заради виправлення однієї служби — обмін, який важко скасувати. Правило видаляється за секунди.
Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, EnabledПерша команда повідомляє чинну категорію, а не ту, що в діалоговому вікні, і саме це значення визначає поведінку брандмауера. Друга підтверджує, що застосовуваний профіль увімкнено і на який ви справді покладаєтеся.
Зверніть увагу, чого ця пара не доводить. Жодна з команд не показує, чи існує конкретне вхідне правило, тому службі, яка досі не відповідає, потрібна перевірка правил, а не ще одна зміна категорії.
Коли симптом не в категорії
Індикатор мережі може відставати від підключення, а в старіших версіях Windows була задокументована вада, коли примусовий тунельний VPN показувався як «Обмежено», хоча трафік ішов, а спаковані застосунки відмовлялися його використовувати. Індикатор помилявся; тунель працював.
Перевіряйте тому те, що справді важливе користувачеві, а не значок. Дістаньтеся служби за адресою, потім за назвою, потім через застосунок. Кожен крок відокремлює маршрутизацію, розв’язання імен і політику застосунків, а категорія вступає лише на кроці брандмауера.
Якщо категорія правильна, а служба все одно не працює, перевірте охоплення правил. Правило, написане для Приватного профілю, перестає збігатися в той момент, коли адаптер стає Загальнодоступним, і це інша несправність, ніж правило, яке ніколи не створювалося.
Запишіть передбачувану категорію, чи застосовується вона політикою та адреси, яким потрібні винятки. Ця нотатка відповість на наступне повідомлення про зникаючі спільні ресурси фактом про профілі та охоплення, а не черговою теорією про тунель.
Рішення маленьке, а наслідки — ні. Категорія — це селектор брандмауера, і ставитися до неї як до косметики означає перетворювати робочу службу на загадку.