Windows VPN adapteri xususiy yoki umumiy bo'lishi kerakmi?
Uchta sinov bilan Windows VPN adapteri xususiy profilga tegishli yoki yo'qligini aniqlang: ishonchli yo'l, barqaror tasnif va sizga haqiqatan kerak bo'lgan qoidalar.
Windows VPN adapterini «Xususiy» holatiga qo'yish korporativ tunnel uchun to'g'ri, tijoriy VPN mijozi uchun esa noto'g'ri, va farq faqat tashqi ko'rinishda emas. Tarmoq toifasi xavfsizlik devori profilini tanlaydi, shuning uchun bitta o'zgarish bir vaqtning o'zida butun qoidalar to'plamini qabul qiladi. Kirish skripti har bir noma'lum adapterni «Xususiy» qilib qo'yganini ko'rdim, bu mehmonxonaning simsiz tarmog'ida fayl almashishni jimgina ochib qo'ydi. Javobni uchta shart belgilaydi va sozlamaga tegishdan oldin ularning barchasi to'g'ri bo'lishi kerak.
Toifa aslida nimani belgilaydi
Network Location Awareness har bir ulangan tarmoq uchun adapter ayta oladigan ma'lumotlardan imzo yaratadi: shlyuz manzili va MAC, DNS qo'shimchasi, domen boshqaruvchisi javob beradimi va tarmoq internetga yetadimi. Windows bu imzoga profil bog'laydi, keyin xavfsizlik devori shu profilning qoidalar to'plamini qo'llaydi. Identifikatsiya muvaffaqiyatsiz bo'lsa, «Umumiy» zaxira variant bo'ladi, shuning uchun ishlayotgan tunnel ham noma'lum tarmoq deb belgilangan qolishi mumkin.
TUN yoki TAP adapteri odatda identifikatsiyaga juda kam ma'lumot beradi. Tunnel sherigi ko'pincha shlyuz emas, bitta manzil bo'ladi, DNS faqat tunnel ichida uzatilishi mumkin va adapterning o'z standart yo'nalishi yo'q. Hosil bo'lgan belgi xavfsizlik devorining kirishini tavsiflaydi, tunnel sog'lig'ini emas, va shu sababli VPN ulangan lahzada xususiy profil qoidalari mos kelishni to'xtatadi.
Birinchi shart: tunnel ishonchli yo'ldir
«Xususiy» tanlash bu interfeys orqali yetib boriladigan hamma narsa hech bo'lmaganda o'z LAN tarmog'ingizdek ishonchli, deb da'vo qilishdir, chunki aniqlash va kiruvchi qoidalar bu quyi tarmoqni mahalliy deb hisoblaydi. Fayl serverlari va printerlari bor boshqariladigan quyi tarmoqqa korporativ tunnel uchun bu da'vo odatda to'g'ri. Adapter tashkilotingiz nazorat qiladigan tarmoqqa eshikdir va narigi tomondagi mashina siznikini qabul qilgan siyosat bilan qabul qilingan.
Tijoriy VPN chiqishi bu sinovdan o'tmaydi. Boshqa abonentlar chiqish quyi tarmog'ini baham ko'radi va uni «Xususiy» deb belgilash tarmoqni aniqlash, LLMNR va NetBIOS nom hal qilishni begonalar bilan to'la segmentga qo'yadi. Bo'lingan tunnel ham muvaffaqiyatsiz bo'lishi mumkin: adapter bitta ilovaga bitta xost yo'nalishini olib yursa, gaplashadigan ishonchli quyi tarmoq yo'q va toifani o'zgartirish sizga hech narsa bermaydi.
Ikkinchi shart: tasnif qayta ulanishlarda saqlanadi
Yangi shlyuz yoki DNS qo'shimchasi yangi imzo yaratadi va Windows u uchun yangi profil qarorini qabul qiladi. Shuning uchun bir martalik Set-NetConnectionProfile keyingi qayta ulanishgacha saqlanadi, abadiy emas. Profilni birinchi ulanishdan keyin emas, qayta ulanishdan keyin tekshiring, chunki aynan o'shanda sozlama o'z-o'zidan qaytadi.
Buni doimiy qilishning uchta yo'li bor. Eng tozasi siyosat: secpol.msc ni oching, Network List Manager Policies bo'limiga o'ting va tarmoq uchun joylashuv turini, shu jumladan noma'lum tarmoq siyosatini belgilang, shunda profil buyruq bilan emas, siyosat bilan qo'llanadi. Ikkinchisi tunnel ko'tarilgandan keyin PowerShell cmdlet-ni ishga tushiradigan har bir ulanish skripti yoki rejalashtirilgan vazifadir. Uchinchisi identifikatsiyaga tekshirish uchun shlyuz beradigan eski yo'nalish hiylasidir:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileYo'nalish hiylasi bu qochish yo'li, tasnif emas. Metrika nisbati o'zgarganda yoki VPN mijozi qayta ulanishda yo'nalishlarni qayta yozganda buziladi va ikkinchi standart yo'nalishga tushadigan hamma narsaning yo'l tanlovini jimgina o'zgartiradi.
Uchinchi shart: sizga xususiy qoidalar to'plami kerak
«Xususiy» odatda fayl va printer almashish, tarmoqni aniqlash va masofadan boshqarish guruhlarini o'z ichiga oladi. Agar vazifa tunnel orqali SMB almashish yoki printerga yetish bo'lsa, bu toifani o'zgartirishning haqiqiy sababidir. Agar vazifa bitta veb ilovaga chiqish bo'lsa, toifa ahamiyatsiz: chiqish qoidasini yozing, «Umumiy» qoldiring va shu yerda to'xtang.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Jadvalni boshlang'ich nuqta sifatida o'qing, keyin o'z tizimingizda qaysi xususiy qoidalar haqiqatan yoqilganini tekshiring. Qattiqlashtirilgan obraz fayl almashishni xususiy profildan butunlay olib tashlagan bo'lishi mumkin, u holda qoidani qaytarmaguningizcha toifa o'zgarishi hech narsaga erishmaydi. Bu tekshiruv bitta buyruqqa tushadi va uzoq tushdan keyinni tejaydi.
O'zgarishni qolgan hamma narsani kengaytirmasdan qilish
Joker belgini emas, interfeys indeksini nishonga oling va ro'yxatni oldin va keyin o'qing:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileSaqlangan profillar registrdagi NetworkList kaliti ostida yashaydi, u yerda Category qiymati umumiy, xususiy va domen tarmoqlarini ajratadi. Uni tahrirlash mumkin va xato qilish oson: adapterning joriy imzosiga mos yozuvni o'zgartirishingiz kerak, oldingi manzil qoldirgan eski yozuvni emas. Eskirgan yozuv tahrirlagichda to'g'ri ko'rinadi va qayta ulanishda hech narsa qilmaydi.
Nima qilsangiz ham, har bir noma'lum adapterni «Xususiy» qiladigan skriptni tarqatmang. Bu ishonchsiz simsiz tarmoqda aniqlashni ochishning bir qatorli versiyasidir. Agar almashish faqat tunnelning quyi tarmog'i bilan kerak bo'lsa, profilni «Umumiy» qoldiring va tunnelning uzoq manzillar diapazoniga cheklangan kiruvchi qoidalar qo'shing; xavfsizlik devori qoidasi toifadan torroq.
Yorliqni emas, almashishni tekshiring
O'zgarishdan keyin yorliqqa ishonish o'rniga resursning o'zini sinab ko'ring:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleAgar adapter «Xususiy» ko'rsatib turgan bo'lsa-da, almashish hali ham muvaffaqiyatsiz bo'lsa, toifa endi sizning muammoingiz emas. Nom hal qilish, yo'qolgan yo'nalish yoki almashish ruxsatlari bir xil alomatni keltiradi va profilni yana o'zgartirish ularning hech birini tuzatmaydi. Bir marta qayta ulanib, sozlamaning saqlanganini tasdiqlash uchun Get-NetConnectionProfile ni qayta ishga tushiring, keyin qolgan nosozlikni oddiy SMB muammosi sifatida hal qiling.
Tekshiruv ro'yxati: tunnel boshqariladigan yo'l ekanini, profil qayta ulanishga bardosh berishini, kerakli xususiy qoidalar obrazda borligini va almashish hal bo'lib 445 portida javob berishini tasdiqlang. Agar birinchi uchtadan biri noto'g'ri bo'lsa, adapterni «Umumiy» qoldiring va kirish muammosini cheklangan qoida bilan hal qiling.