System nie reaguje na przypisanie profilu przez netsh

System niereagujący na przypisanie profilu przez netsh wskazuje na politykę GPO nadpisującą lokalną zmianę kategorii sieci.

Co oznacza brak reakcji na przypisanie profilu przez netsh

Komunikat lub sytuacja opisana jako „system nie reaguje na przypisanie profilu przez netsh” dotyczy zwykle rozbieżności między konfiguracją interfejsu sieciowego a kategorią profilu sieciowego ustalaną przez system Windows. Narzędzie netsh służy między innymi do wyświetlania i zmiany ustawień interfejsów, konfiguracji TCP/IP oraz obsługi profili bezprzewodowych WLAN. Nie każda operacja wykonana przez netsh zmienia jednak kategorię lokalizacji sieci widoczną jako sieć prywatna, publiczna albo domenowa.

Kategoria profilu jest ustalana przez mechanizm Network Location Awareness (NLA) na podstawie rozpoznania sieci, właściwości połączenia oraz zasad systemowych. Dlatego poprawne wykonanie polecenia netsh może zmienić stan interfejsu lub profil Wi-Fi, ale nie musi spowodować oczekiwanej zmiany kategorii sieci. Jeżeli po ponownym uruchomieniu usługi, odłączeniu kabla albo ponownym połączeniu z Wi-Fi ustawienie wraca do poprzedniej wartości, wskazuje to na działanie nadrzędnej polityki lub ponowną ocenę sieci przez NLA.

Rola zasad GPO w utrzymaniu kategorii sieci

W środowisku Windows zarządzanym przez domenę lokalna zmiana profilu może zostać nadpisana przez zasady grupy, czyli Group Policy Objects (GPO). Administrator może zdefiniować zasady Network List Manager Policies, które określają sposób traktowania sieci zidentyfikowanych, niezidentyfikowanych oraz sieci domenowych. Polityka może wymuszać kategorię publiczną albo prywatną, ograniczać możliwość zmiany profilu przez użytkownika lub stosować ustawienia zależne od rozpoznania domeny.

Istotne jest rozróżnienie między siecią domenową a siecią prywatną. Profil domenowy jest wybierany wtedy, gdy komputer potrafi rozpoznać odpowiednią domenę za pomocą mechanizmów systemowych. Samo podanie nazwy domeny, zmiana nazwy sieci Wi-Fi lub ustawienie parametrów adresowych nie powoduje automatycznie uzyskania profilu domenowego. Jeżeli komputer nie ma dostępu do kontrolera domeny, DNS wskazuje niewłaściwe serwery albo zasady GPO nie zostały odświeżone, NLA może utrzymać inną kategorię niż oczekiwana.

Do sprawdzenia zastosowanych zasad można użyć polecenia gpresult /r albo wygenerować raport HTML poleceniem gpresult /h raport-gpo.html. Raport pozwala ustalić, jakie obiekty zasad grupy zostały zastosowane do komputera i użytkownika. W przypadku komputera poza domeną należy brać pod uwagę również zasady lokalne, ustawienia rejestru oraz oprogramowanie administracyjne, które może cyklicznie przywracać określoną konfigurację.

Rozdzielenie ustawień WLAN, interfejsu i profilu lokalizacji

Przed oceną problemu trzeba ustalić, czego dokładnie dotyczy użyte polecenie. netsh wlan show profiles wyświetla zapisane profile sieci bezprzewodowych, a netsh wlan show interfaces pokazuje stan aktywnego połączenia WLAN, nazwę interfejsu, identyfikator SSID i podstawowe parametry połączenia. Z kolei netsh interface show interface służy do sprawdzenia stanu interfejsów sieciowych, takich jak Ethernet i Wi-Fi. Wynik tych poleceń nie jest jeszcze bezpośrednim potwierdzeniem kategorii profilu sieciowego.

Kategorię aktywnego połączenia można sprawdzić w PowerShell za pomocą polecenia Get-NetConnectionProfile. Zwracane właściwości obejmują między innymi nazwę sieci, identyfikator interfejsu oraz NetworkCategory. Zmiana przez Set-NetConnectionProfile może wymagać uruchomienia konsoli z uprawnieniami administratora i może zostać odrzucona, jeżeli ustawienie jest kontrolowane przez politykę. Błąd uprawnień, brak właściwego interfejsu, nieaktualny stan połączenia albo blokada wynikająca z GPO należy odróżnić od sytuacji, w której polecenie kończy się bez błędu, lecz kategoria połączenia pozostaje bez zmian.

W diagnostyce warto zapisać stan przed i po zmianie, sprawdzić, czy aktywny jest właściwy interfejs, a następnie ponownie wykonać Get-NetConnectionProfile. Należy również przeanalizować Podgląd zdarzeń, szczególnie dzienniki związane z usługami Network Location Awareness i Network List Service. Jeżeli zmiana jest widoczna tylko chwilowo, a po odświeżeniu zasad lub restarcie usługi znika, bardziej prawdopodobna jest ingerencja polityki niż uszkodzenie samego polecenia netsh.

Postępowanie serwisowe przy wymuszonej zmianie profilu

Bezpieczna diagnostyka rozpoczyna się od ustalenia, czy komputer jest dołączony do domeny, jakie serwery DNS otrzymuje z DHCP oraz czy problem występuje na jednym interfejsie, czy na wszystkich połączeniach. Trzeba sprawdzić także, czy użytkownik ma uprawnienia administratora i czy połączenie jest rzeczywiście aktywne w chwili wykonywania polecenia. Sama zmiana adresu IP, bramy lub maski nie rozwiązuje problemu z kategorią profilu, jeśli przyczyną jest GPO albo nieudane rozpoznanie domeny.

Warszawskie Pogotowie Komputerowe wykonuje diagnostykę i naprawę laptopów oraz komputerów PC, w tym analizę konfiguracji systemu Windows, ustawień sieciowych i działania podstawowych usług odpowiedzialnych za rozpoznawanie połączenia. W razie potrzeby można rozdzielić problem z profilem WLAN od problemu z kategorią lokalizacji sieci, sprawdzić zastosowane zasady grupy oraz przywrócić spójność konfiguracji bez przypadkowego usuwania zapisanych profili i ustawień interfejsu.

Jeżeli zmiana profilu jest stale nadpisywana, potrzebne może być uzgodnienie ustawień z administratorem domeny, ponieważ lokalna modyfikacja nie powinna obchodzić obowiązujących zasad organizacyjnych. W komputerze używanym poza domeną należy zweryfikować lokalne zasady zabezpieczeń, stan usług sieciowych i sterownik karty sieciowej. Dopiero po tych czynnościach można rozstrzygnąć, czy źródłem problemu jest polityka GPO, błędne rozpoznanie sieci, uprawnienia, uszkodzenie konfiguracji Windows czy nieprawidłowe działanie sterownika.