Bộ chuyển đổi VPN của Windows nên ở chế độ Riêng tư hay Công khai?
Hãy quyết định bằng ba phép thử xem bộ chuyển đổi VPN của Windows có thuộc hồ sơ riêng tư hay không: đường dẫn đáng tin cậy, phân loại ổn định và các quy tắc bạn thực sự cần.
Đặt bộ chuyển đổi VPN của Windows thành Riêng tư là đúng cho một đường hầm doanh nghiệp và sai cho một ứng dụng VPN thương mại, và sự khác biệt không chỉ ở hình thức. Danh mục mạng chọn một hồ sơ tường lửa, nên một thay đổi duy nhất mở toàn bộ bộ quy tắc cùng lúc. Tôi từng thấy một tập lệnh đăng nhập đặt mọi bộ chuyển đổi không xác định thành Riêng tư, điều đó âm thầm phơi bày việc chia sẻ tệp trên mạng không dây của khách sạn. Ba điều kiện quyết định câu trả lời, và tất cả phải đúng trước khi bạn chạm vào cài đặt.
Danh mục thực sự quyết định điều gì
Network Location Awareness xây dựng một chữ ký cho mỗi mạng được kết nối từ những gì bộ chuyển đổi có thể báo cáo: địa chỉ cổng và MAC, hậu tố DNS, liệu bộ điều khiển miền có trả lời và liệu mạng có tới internet. Windows gắn một hồ sơ với chữ ký đó, rồi tường lửa áp dụng bộ quy tắc của hồ sơ ấy. Công khai là phương án dự phòng khi nhận dạng thất bại, vì thế một đường hầm đang hoạt động vẫn có thể bị gắn nhãn mạng không xác định.
Bộ chuyển đổi TUN hoặc TAP thường cung cấp rất ít thông tin cho việc nhận dạng. Đầu bên kia của đường hầm thường là một địa chỉ duy nhất chứ không phải cổng, DNS có thể chỉ được đẩy vào bên trong đường hầm, và bộ chuyển đổi không có tuyến mặc định riêng. Nhãn sinh ra mô tả đầu vào của tường lửa, không phải sức khỏe của đường hầm, và đó là lý do các quy tắc của hồ sơ riêng tư ngừng khớp ngay khi VPN kết nối.
Điều kiện một: đường hầm là con đường đáng tin cậy
Chọn Riêng tư khẳng định rằng mọi thứ tiếp cận được qua giao diện này ít nhất cũng đáng tin cậy như LAN của bạn, vì việc phát hiện và các quy tắc vào sẽ coi mạng con đó là cục bộ. Với một đường hầm doanh nghiệp vào mạng con được quản lý có máy chủ tệp và máy in, khẳng định này thường đúng. Bộ chuyển đổi là cánh cửa vào một mạng do tổ chức của bạn kiểm soát, và máy ở phía bên kia đã được chấp nhận bởi cùng chính sách đã chấp nhận máy của bạn.
Một đầu ra VPN thương mại không vượt qua phép thử này. Những người đăng ký khác chia sẻ mạng con đầu ra, và việc đánh dấu nó là Riêng tư đặt việc phát hiện mạng, LLMNR và phân giải tên NetBIOS vào một phân đoạn đầy người lạ. Đường hầm chia tách cũng có thể thất bại: khi bộ chuyển đổi chỉ mang một tuyến máy chủ tới một ứng dụng, không có mạng con đáng tin cậy nào để nói tới, và việc đổi danh mục chẳng mang lại gì.
Điều kiện hai: phân loại tồn tại qua các lần kết nối lại
Một cổng hoặc hậu tố DNS mới tạo ra một chữ ký mới, và Windows đưa ra quyết định hồ sơ mới cho nó. Vì vậy một Set-NetConnectionProfile dùng một lần chỉ tồn tại đến lần kết nối lại tiếp theo, không phải mãi mãi. Hãy kiểm tra hồ sơ sau khi kết nối lại chứ không phải sau lần kết nối đầu tiên, vì đó là lúc cài đặt tự quay về.
Có ba cách để làm cho nó bền vững. Cách sạch nhất là chính sách: mở secpol.msc, vào Network List Manager Policies và đặt loại vị trí cho mạng, kể cả chính sách cho mạng không xác định, để hồ sơ được áp dụng bởi chính sách chứ không phải bằng lệnh. Cách thứ hai là một tập lệnh cho mỗi kết nối hoặc một tác vụ được lên lịch chạy lệnh PowerShell sau khi đường hầm lên. Cách thứ ba là mẹo tuyến cũ, cung cấp cho việc nhận dạng một cổng để dò:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileMẹo tuyến là một cách lách, không phải phân loại. Nó hỏng khi quan hệ số liệu thay đổi hoặc khi ứng dụng VPN viết lại các tuyến lúc kết nối lại, và nó âm thầm thay đổi việc chọn đường cho mọi thứ rơi vào tuyến mặc định thứ hai.
Điều kiện ba: bạn cần bộ quy tắc riêng tư
Riêng tư thường bao gồm Chia sẻ tệp và máy in, Phát hiện mạng và các nhóm quản trị từ xa. Nếu nhiệm vụ là tiếp cận một chia sẻ SMB hoặc một máy in qua đường hầm, đó chính là lý do thực sự để đổi danh mục. Nếu nhiệm vụ là truy cập ra ngoài tới một ứng dụng web, danh mục không liên quan: hãy viết quy tắc ra ngoài, giữ Công khai và dừng ở đó.
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
Hãy đọc bảng như điểm khởi đầu, rồi kiểm tra những quy tắc riêng tư nào thực sự được bật trên hình ảnh của bạn. Một hình ảnh được gia cố có thể đã loại bỏ hoàn toàn việc chia sẻ tệp khỏi hồ sơ riêng tư, và trong trường hợp đó việc đổi danh mục không đạt được gì cho đến khi bạn thêm lại quy tắc. Việc kiểm tra đó tốn một lệnh và tiết kiệm cả một buổi chiều dài.
Thực hiện thay đổi mà không mở rộng mọi thứ khác
Hãy nhắm vào chỉ số giao diện, không phải ký tự đại diện, và đọc danh sách trước và sau:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileCác hồ sơ được lưu nằm dưới khóa NetworkList trong sổ đăng ký, nơi giá trị Category phân tách mạng công khai, riêng tư và miền. Có thể chỉnh sửa và rất dễ làm sai: bạn phải thay đổi mục khớp với chữ ký hiện tại của bộ chuyển đổi, không phải mục cũ do địa chỉ trước để lại. Một mục lỗi thời trông đúng trong trình soạn thảo và không làm gì khi kết nối lại.
Dù bạn làm gì, đừng phát hành một tập lệnh đặt mọi bộ chuyển đổi không xác định thành Riêng tư. Đó là phiên bản một dòng của việc mở phát hiện trên mạng không dây không đáng tin cậy. Nếu bạn chỉ cần chia sẻ với mạng con của đường hầm, hãy giữ hồ sơ Công khai và thêm các quy tắc vào bị giới hạn trong dải địa chỉ từ xa của đường hầm; quy tắc tường lửa hẹp hơn danh mục.
Kiểm chứng việc chia sẻ, không phải nhãn
Sau khi thay đổi, hãy thử chính tài nguyên thay vì tin vào nhãn:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleNếu việc chia sẻ vẫn thất bại trong khi bộ chuyển đổi hiển thị Riêng tư, danh mục không còn là vấn đề của bạn. Phân giải tên, một tuyến bị thiếu hoặc quyền chia sẻ sẽ tạo ra cùng triệu chứng, và việc đổi hồ sơ lần nữa không thể sửa được bất kỳ điều nào trong số đó. Hãy kết nối lại một lần và chạy lại Get-NetConnectionProfile để xác nhận cài đặt vẫn giữ, rồi xử lý thất bại còn lại như một sự cố SMB bình thường.
Danh sách kiểm tra: xác nhận đường hầm là một con đường được quản lý, hồ sơ tồn tại qua lần kết nối lại, các quy tắc riêng tư cần thiết có trên hình ảnh và việc chia sẻ được phân giải và trả lời trên cổng 445. Nếu bất kỳ điều nào trong ba điều đầu là sai, hãy để bộ chuyển đổi ở Công khai và giải quyết vấn đề truy cập bằng một quy tắc giới hạn.