Vì sao bộ điều hợp VPN luôn rơi vào hồ sơ làm việc

Kết nối đường hầm của công ty và chiếc máy tính xách tay lặng lẽ đổi tính cách. Chia sẻ tệp dừng lại, duyệt theo tên thất bại, một ứng dụng từng lắng nghe không còn lắng nghe nữa, và Cài đặt hiển thị kết nối là Công việc hoặc Không xác định. Có ba cách để ghim phân loại đó, và lựa chọn giữa chúng phụ thuộc vào việc thiết bị có được quản lý hay không, nhãn có tiếp tục quay lại hay không, và có thứ gì đó trên bộ điều hợp ấy thực sự cần khám phá hay không.

Nhãn thực sự kiểm soát điều gì

Windows nhóm mỗi mạng vào một danh mục và chọn từ đó một hồ sơ tường lửa. Hồ sơ Công cộng từ chối chia sẻ vào, khám phá và các cổng tệp và máy in trước khi bất kỳ quy tắc nào bạn thêm được xem xét, trong khi Riêng tư cho phép nhiều hơn. Các ứng dụng kiểm tra danh mục trước khi công bố dịch vụ thấy cùng một giá trị.

Đây là lựa chọn chính sách, không phải quyết định định tuyến. Một địa chỉ có thể hoàn toàn tiếp cận được mà vẫn bị từ chối vì hồ sơ đang có hiệu lực không chứa quy tắc phù hợp, và không việc sửa tuyến nào thay đổi được điều đó. Hai câu hỏi khác nhau, hai công cụ khác nhau. Trộn lẫn chúng là lý do phổ biến nhất khiến một bản sửa có vẻ hoạt động rồi lại dừng.

Danh mục được lưu theo từng mạng, và mạng được nhận diện bằng một chữ ký. Trên một mạng cục bộ thông thường, chữ ký đó gồm địa chỉ phần cứng của cổng mặc định và hậu tố DNS của kết nối, và bộ điều hợp VPN thường thiếu cả hai. Chữ ký yếu nghĩa là cùng một đường hầm có thể trông như một mạng mới sau khi cập nhật ứng dụng khách.

Đó là lý do nhãn có vẻ tự thay đổi. Windows không thất thường; nó chỉ không nhận ra đường hầm là mạng mà nó đã phân loại tuần trước.

Ba điều kiện quyết định cách tiếp cận

Điều kiện thứ nhất là quyền sở hữu. Trên một máy tính xách tay được quản lý, cài đặt thường bị khóa, và một sửa đổi cục bộ sẽ bị ghi đè ở lần làm mới chính sách tiếp theo. Chống lại điều đó chỉ tốn một buổi chiều; chính sách là kênh được hỗ trợ và là kênh duy nhất giữ được.

Điều kiện thứ hai là sự lặp lại. Nếu nhãn đã quay lại nhiều hơn một lần, giá trị theo mạng đang được dựng lại từ một chữ ký đã thay đổi, và sửa nó lần nữa sẽ không bền. Giá trị chính sách nằm trong một nhánh riêng vượt trên các giá trị theo người dùng mà Windows dựng lại mỗi khi bộ điều hợp kết nối lại.

Điều kiện thứ ba là nhu cầu. Một số môi trường thực sự cần phân giải tên và khám phá qua đường hầm, và những môi trường đó muốn các quy tắc tường lửa hẹp cho những địa chỉ cụ thể thay vì chuyển cả bộ điều hợp sang Riêng tư. Chuyển danh mục để một dịch vụ chạy được là cách một đường hầm cuối cùng phơi bày nhiều hơn dự định.

Trả lời ba điều kiện và lựa chọn tự hiện ra. Hai điều chỉ về chính sách nghĩa là chính sách, và một điều chỉ về một lần thử nghĩa là một sửa đổi cục bộ mà bạn định bỏ đi.

Ghim nó lại, rồi đọc xem hồ sơ nào đang có hiệu lực

Chính sách bảo mật cục bộ hiển thị cài đặt trong Chính sách danh sách mạng. Mở secpol.msc, mở rộng nút đó, mở mục cho mạng của đường hầm, đặt loại vị trí thành Công cộng và đặt quyền người dùng để không thể thay đổi vị trí. Những cài đặt đó rơi vào nhánh Chính sách của cùng cây, vì thế chúng vượt trên các giá trị theo người dùng mà một lần kết nối lại ghi đè.

Công cộng thường đúng cho bộ điều hợp VPN, vì nó chặn chia sẻ vào và khám phá theo mặc định. Đó là lựa chọn thận trọng cho một đường hầm có thể rơi vào một phân đoạn không tin cậy, và sau này có thể nới lỏng bằng các quy tắc cụ thể thay vì đổi danh mục. Mở rộng danh mục để sửa một dịch vụ là một trao đổi khó đảo ngược. Một quy tắc bị gỡ trong vài giây.

Get-NetConnectionProfile | Select-Object Name, NetworkCategory, IPv4Connectivity
Get-NetFirewallProfile -Name Public | Select-Object Name, Enabled

Lệnh thứ nhất báo cáo danh mục đang có hiệu lực chứ không phải danh mục trong hộp thoại, và chính giá trị đó quyết định hành vi của tường lửa. Lệnh thứ hai xác nhận hồ sơ đang được áp dụng đã bật và bạn thực sự đang dựa vào cái nào.

Hãy để ý điều mà cặp lệnh này không chứng minh. Không lệnh nào cho thấy một quy tắc vào cụ thể có tồn tại hay không, nên một dịch vụ vẫn không trả lời cần kiểm tra quy tắc chứ không phải một lần đổi danh mục nữa.

Khi triệu chứng không phải là danh mục

Một chỉ báo mạng có thể chậm hơn kết nối, và các bản Windows cũ có một khiếm khuyết được ghi nhận khi VPN đường hầm bắt buộc hiển thị là Bị hạn chế trong khi lưu lượng vẫn chảy và các ứng dụng đóng gói từ chối dùng nó. Chỉ báo đã sai; đường hầm vẫn hoạt động.

Vậy hãy kiểm tra thứ người dùng thực sự quan tâm thay vì biểu tượng. Tiếp cận dịch vụ bằng địa chỉ, rồi bằng tên, rồi qua ứng dụng. Mỗi bước tách định tuyến, phân giải và chính sách ứng dụng, và danh mục chỉ xuất hiện ở bước tường lửa.

Nếu danh mục đúng mà dịch vụ vẫn hỏng, hãy kiểm tra phạm vi quy tắc. Một quy tắc viết cho hồ sơ Riêng tư ngừng khớp vào lúc bộ điều hợp là Công cộng, và đó là lỗi khác với một quy tắc chưa bao giờ được tạo.

Ghi lại danh mục dự định, liệu nó có được chính sách áp đặt hay không, và những địa chỉ cần ngoại lệ. Ghi chú đó trả lời báo cáo tiếp theo về các chia sẻ biến mất bằng một dữ kiện về hồ sơ và phạm vi, chứ không phải một giả thuyết khác về đường hầm.

Quyết định thì nhỏ, hậu quả thì không. Danh mục là một bộ chọn tường lửa, và coi nó là chuyện trang trí là cách một dịch vụ đang chạy trở thành một bí ẩn.