Zapora nie rozpoznaje zmiany profilu sieci

Zapora nierozpoznająca zmiany profilu sieci wskazuje na uszkodzoną komunikację z usługą Network Location Awareness.

Jak działa rozpoznawanie profilu sieci w systemie Windows

Zapora nierozpoznająca zmiany profilu sieci jest zwykle objawem problemu w komunikacji między Zaporą systemu Windows Defender a usługą Network Location Awareness, znaną jako NLA. Usługa ta identyfikuje właściwości aktualnego połączenia, między innymi interfejs sieciowy, adresację IP, bramę domyślną, informacje o domenie oraz cechy sieci zapisane przez system. Na tej podstawie Windows przypisuje połączeniu jeden z profili: Domena, Prywatny albo Publiczny. Profil określa, jakie reguły zapory są aktywne dla danego interfejsu.

Zmiana kabla sieciowego, punktu dostępowego Wi-Fi, routera lub sposobu uzyskiwania adresu IP nie zawsze powoduje natychmiastową zmianę profilu. System może zachować wcześniejszą klasyfikację, jeśli nie potrafi ponownie ocenić sieci albo nie otrzymuje poprawnej odpowiedzi od zależnych usług. Samo uzyskanie adresu IP nie oznacza jeszcze, że NLA prawidłowo rozpoznało lokalizację sieci. W efekcie zapora może nadal stosować reguły właściwe dla poprzedniego profilu, mimo że użytkownik znajduje się już w innej sieci.

Objawy niespójności między NLA a regułami zapory

Problem może przejawiać się jako brak dostępu do udostępnionych folderów, drukarek sieciowych, urządzeń lokalnych albo usług działających na komputerze. Możliwa jest również sytuacja odwrotna: połączenie z siecią publiczną zostaje potraktowane jak prywatne, więc część reguł zezwalających na wykrywanie urządzeń lub ruch przychodzący pozostaje aktywna. Widoczny komunikat zależy od konkretnej konfiguracji, dlatego sam opis objawu nie wystarcza do ustalenia przyczyny.

Istotne jest rozróżnienie profilu sieci od profilu użytkownika oraz od nazwy sieci Wi-Fi wyświetlanej w interfejsie. Profil jest przypisany do połączenia sieciowego i wpływa na zestaw reguł zapory. W systemach przyłączonych do domeny decyzja o profilu domenowym zależy również od możliwości skontaktowania się z kontrolerem domeny. Jeżeli komputer jest poza siecią firmową albo korzysta z nieprawidłowej konfiguracji DNS, NLA może nie potwierdzić lokalizacji domenowej. W przypadku zwykłego laptopa domowego najczęściej występują profile Prywatny i Publiczny.

Sprawdzenie usług, profilu i konfiguracji połączenia

Podstawową informację o rozpoznanym profilu można uzyskać w PowerShellu za pomocą polecenia Get-NetConnectionProfile. Wynik zawiera między innymi nazwę interfejsu, identyfikator sieci oraz wartość NetworkCategory, która wskazuje kategorię Public, Private albo DomainAuthenticated. Należy sprawdzić każdy aktywny interfejs, ponieważ komputer może jednocześnie korzystać z Wi-Fi, Ethernetu, wirtualnego adaptera VPN lub dodatkowego połączenia. Nieaktywny albo pozostały po odinstalowanym oprogramowaniu adapter może utrudniać ocenę stanu, ale nie powinien być zmieniany bez potwierdzenia jego roli.

Warto także zweryfikować działanie usług Network Location Awareness oraz Network List Service w konsoli usług systemu Windows. Ich zatrzymanie, opóźnione uruchamianie albo błędy zależności mogą powodować utrzymywanie starego profilu. Kolejne punkty kontroli obejmują konfigurację DHCP, adres bramy domyślnej, serwery DNS i obecność aktywnego VPN. Jeśli adresacja jest niepełna, brama nie odpowiada albo DNS kieruje zapytania do niedostępnej sieci, NLA może nie uznać zmiany połączenia za zakończoną. Reguły zapory można analizować w konsoli Zapora systemu Windows Defender z zabezpieczeniami zaawansowanymi, grupując je według profilu i kierunku ruchu.

Naprawa rozpoznawania sieci i przywrócenie właściwych reguł

Bezpieczne postępowanie powinno zaczynać się od ustalenia, czy problem dotyczy samego profilu, czy również łączności. Po odłączeniu nieużywanego VPN, ponownym uruchomieniu interfejsu sieciowego i potwierdzeniu poprawnej adresacji można ponownie sprawdzić wynik Get-NetConnectionProfile. W uzasadnionych przypadkach kategorię połączenia można zmienić poleceniem Set-NetConnectionProfile, podając właściwy identyfikator interfejsu i kategorię. Taka zmiana nie naprawia uszkodzonej usługi NLA; jedynie ustawia kategorię, według której zapora dobiera reguły. Nie należy ustawiać profilu Prywatny tylko po to, aby obejść blokadę w nieznanej sieci.

Jeżeli profil nadal wraca do poprzedniej wartości, trzeba sprawdzić dzienniki zdarzeń dotyczące NLA, Network List Service, DHCP i Zapory systemu Windows Defender. Pomocne jest porównanie stanu przed zmianą sieci i po niej: adresu IP, bramy, serwerów DNS, identyfikatora sieci oraz kategorii profilu. W razie uszkodzenia konfiguracji można odtworzyć ustawienia stosu sieciowego, ale operacja ta może usunąć zapisane profile Wi-Fi, ustawienia adapterów i konfigurację VPN, dlatego wymaga przygotowania danych dostępowych. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów z profilem sieci oraz regułami zapory systemu Windows.