Ако стално прелазите између кућне Wi-Fi мреже, канцеларијске мреже, универзитетске мреже или мобилне приступне тачке, ручна промена мрежних подешавања је права мука. Срећом, Windows и други оперативни системи нуде начине за... креирајте аутоматске профиле на основу WiFi мреже на коју се повезујете, контролишите који је интерфејс активиран у било ком тренутку и примените безбедносне политике или заштитне зидове прилагођене сваком окружењу.
У овом чланку ћете детаљно видети како они функционишу мрежни профилиШта вам омогућавају да радите у оперативном систему Windows, како да их интегришете са алатима попут Intune-а или са безбедносним решењима, које програме трећих страна морате да користите да бисте ишли даље и како се све ово уклапа са концептима попут локација, група приоритета интерфејса или IPsec профила у рутерима предузећа.
Шта је мрежни профил и зашто бисте били заинтересовани да га користите?
Мрежни профил је у основи скуп унапред дефинисани параметри који се примењују на везу (или више) у зависности од одређених услова: WiFi мреже на коју се повезујете, активног интерфејса, локације итд. Ови параметри могу да се крећу од IP и DNS адресе до правила заштитног зида, коришћења VPN-а, штампача, дељених ресурса или чак прилагођених скрипти.
У оперативном систему Windows, систем већ класификује мреже као јавно или приватноКада се први пут повежете на Wi-Fi или LAN мрежу, систем пита да ли је то поуздана мрежа. Ако одговорите потврдно, сматра се приватном; ако не, јавном. На основу ове одлуке, систем подешава заштитни зид и видљивост вашег уређаја на мрежи, опуштајући безбедност на кућним мрежама или малим канцеларијама, а јачајући је на мрежама у хотелима, на аеродромима или у кафићима.
Ин а приватна мрежаWindows претпоставља да контролишете ко се повезује и да су уређаји познати. Ово вам омогућава, на пример, да откријете друге рачунаре на мрежи, приступите дељеним фасциклама, шаљете задатке штампања на мрежне штампаче или користите функције попут HomeGroup-а или стримовања на Smart TV. Систем смањује ограничења јер разуме да је окружење релативно безбедно.
Ин а јавна мрежаWindows претпоставља да је мрежа непоуздана. Стога онемогућава откривање уређаја, дељење датотека и штампача и друге услуге које би вас могле изложити нападима са других повезаних уређаја. рањивости попут оних у WhatsApp-уИ даље можете да претражујете интернет, али ваш уређај је изолован од осталих, што је кључно када се повежете на Ви-Фи мрежу у тржном центру, аеродрому или отвореној мрежи.
Проблем настаје када се исти лаптоп помера више мрежа са веома различитим захтевимаНекоме би могла бити потребна статичка IP адреса, другом DHCP; једном би могло бити потребно да користите корпоративни прокси, трећем да активирате VPN, а трећем можда не. Ручна промена овога сваки пут је заморна и склона грешкама. Ту долазе до изражаја напредни мрежни профили, како у Windows-у, тако и путем специјализованих програма.
Аутоматизујте подешавања приликом промене Ви-Фи мрежа у оперативном систему Виндоус
Windows вам омогућава да дефинишете различите параметре по мрежном профилу (јавном или приватном) и по одређеној вези, али интегрисано управљање је недовољно ако желите Промените ИП, ДНС, прокси, ВПН и заштитни зид одједном сваки пут када детектујете други SSID. За ово је уобичајени приступ комбиновање онога што систем нуди са екстерним алатима који управљају напредним профилима.
У графичком интерфејсу за управљање мрежом неких окружења (на пример, дистрибуције које користе концепте сличне Соларисовим NCP-овима) прави се разлика реактивни и фиксни мрежни профилиРеактивни профил „Automatic“ прво покушава да успостави жичану везу и, ако то не успе, прибегава бежичној вези. Фиксни профил „DefaultFixed“ дефинише статички скуп интерфејса који остају непромењени док се не измене помоћу алата командне линије.
Ови профили контролишу који интерфејси могу бити активирати или деактивирати у било ком тренуткуНа типичном лаптопу са Ethernet и Wi-Fi мрежом, можда ћете желети да користите само Ethernet када је кабл доступан и да искључите Wi-Fi из безбедносних разлога или обрнуто. Графички кориснички интерфејс за мрежне поставке обично нуди приказе статуса везе, мрежног профила и својстава везе, где можете видети тренутни статус, који је профил активан и одређена својства (IP адреса, IPv4/IPv6, омиљене бежичне мреже итд.).
Поред тога, можете дефинисати локације Ова подешавања групишу конфигурације као што су услуге имена, заштитни зид и IPsec, и активирају се ручно или условно према правилима (на пример, локација „Канцеларија“ ако добијете IP адресу из одређеног опсега и локација „Кућа“ са различитим политикама). Само једна локација може бити активна у једном тренутку, а може се променити из иконе статуса мреже или помоћу команди попут netadm на системима сличним Solaris-у.
Програми за креирање аутоматских профила по WiFi мрежи
Да би се ишло даље од онога што Windows нуди подразумевано, постоје специфични алати који омогућавају креирајте и примените комплетне мрежне профиле Зависи од мреже (SSID) на коју се повезујете или активног адаптера. Многи од њих подржавају Windows XP до Windows 11.
Еаси Нет Свитцх
Еаси Нет Свитцх То је плаћени програм за Windows који се истиче по огромном броју мрежних подешавања које може да обради. Иако његов интерфејс подсећа на еру Windows XP-а, остаје компатибилан са Windows XP, 7, 8, 10 и 11, и укључује и графички кориснички интерфејс и режим командне линије за напредне кориснике.
Са Easy Net Switch-ом можете дефинисати профиле који контролишу практично све: ИП адреса, маска подмреже, гејтвеј, ДНС, WINS, НетБИОС, лажно представљање МАК адресе, WiFi, VPN, прокси, заштитни зид, подразумевани штампач, мрежни дискови, статичке рутепа чак и покретати скрипте или мењати датотеку hosts. Сваки параметар је опционалан; можете се ограничити на IP адресу и DNS или подесити веома сложен профил за корпоративно окружење.
Креирање профила се обично врши кликом на дугме „Ново“, користећи основни чаробњак који затим можете прилагодити. У одељку „Мрежа“ бирате да ли се IP адреса и DNS добијају путем DHCP-а или су статички, а у одељку „Напредно“ можете изменити WINS, NetBIOS, променити MAC адресу, обрисати DNS кеш меморију и још много тога. Приликом примене профила, програм приказује Резиме промена и евентуалних грешакашто олакшава дијагнозу ако нешто не функционише.
У одељку WiFi, Easy Net Switch вам омогућава да дефинишете бежични профили повезани са одређеним SSID-овимаМожете скенирати доступне мреже или ручно унети име и подесити аутентификацију: од унапред дељених кључева (PSK) до јаке аутентификације помоћу RADIUS-а и различитих EAP протокола. Ово омогућава, на пример, да се профил са исправним кључем, одговарајућом EAP аутентификацијом и, ако је потребно, VPN-ом аутоматски припреми сваки пут када видите SSID компаније.
Програм такође управља подешавањима за корпоративни прокси (укључујући аутентификацију), диал-уп, ВПН, па чак нуди и интегрисане алате попут пинга и трасерута, као и виџет за радну површину за преглед тренутне ИП адресе у сваком тренутку. Његове опције укључују покретање са Виндоусом, минимизирање у системску палету, онемогућавање аутоматског откривања Ви-Фи мреже и заштиту приступа програмима лозинком како би се спречиле неовлашћене промене.
TCP/IP менаџер
TCP/IP менаџер То је бесплатан пројекат отвореног кода који, иако није ажуриран годинама, и даље добро функционише на новијим верзијама оперативног система Windows. Фокусира се на креирање неограничених мрежних профила који брзо мењају IP конфигурација, маска подмреже, гејтвеј, DNS, прокси, име радне групе и MAC адреса.
Једна од његових предности је то што омогућава увези тренутну конфигурацију Систем вам омогућава да креирате профил из постојећих подешавања без потребе да ручно уносите све. Такође нуди могућност повезивања пакетних датотека са сваким профилом, тако да његово активирање аутоматски извршава додатне команде (на пример, монтирање мрежних дискова или покретање VPN-а).
Пребацивање између профила може се обавити са самог интерфејса или путем вруће тастереИдеално за кориснике којима је потребно брзо пребацивање између окружења (корпоративна мрежа, лабораторија, клијент итд.). Штавише, програм се аутоматски ажурира преко веба када су доступне нове верзије, елиминишући потребу за ручним преузимањем.
ИП Схифтер
ИП Схифтер То је лагана и бесплатна опција дизајнирана за оне којима је потребно нешто једноставније. Подржава Windows XP и новије верзије, укључујући Виндовс 10 и Виндовс 11и ради са различитим адаптерима, како Ethernet тако и WiFi.
Његова главна функција је да вам омогући промену без поновног покретања IP конфигурација, маска подмреже, гејтвеј и DNS адаптера. Такође обрађује конфигурације проксија за прегледаче попут Microsoft Edge-а или Firefox-а, интегрише брзу пинг команду и може да детектује уређаје присутне на LAN мрежи, као и да прикаже јавну IP адресу коју интернет види.
Нема ниво дубине као Easy Net Switch или NetSetMan, али за пребацивање између два или три основна окружења (на пример, статичка IP адреса у индустријској мрежи и DHCP код куће) је обично довољна.
НетСетМан
НетСетМан Вероватно је најмоћнија бесплатна алтернатива за Easy Net Switch. Има бесплатну верзију са до осам профила и плаћену Pro верзију са Неограничени профили и више пословно оријентисаних опцијаЊихова филозофија је да једним кликом можете активирати комплетан сет мрежних подешавања.
Међу конфигурацијама које дозвољава су класичне (IP, маска, gateway, DNS), радна група, подразумевани штампач, мрежни дискови, табела рутирања, SMTP сервер, име рачунара, MAC адреса, статус мрежне картице, брзина интерфејса, MTU, VLAN и још много тога. Такође можете дефинисати параметре VPN сервера, покренути пакетне, VBScript или JavaScript скрипте приликом промене профила, покренути друге програме, па чак и детаљно управљати WiFi подешавањима.
Про верзија додаје функције као што су напредне конфигурације проксија и мрежни домениОво је веома корисно за интеграцију са окружењима корпоративних домена и централизованим прокси серверима. Међутим, бесплатна верзија се не може користити на Windows Server-у и ограничава број профила на осам, што треба имати на уму ако управљате многим локацијама.
WiFi профили управљани помоћу Microsoft Intune-а
У корпоративним окружењима где управљате стотинама или хиљадама уређаја, не можете се ослонити на то да ће сваки корисник правилно конфигурисати своју Wi-Fi мрежу. Ту долази до изражаја Microsoft Intune, који вам омогућава да Креирајте WiFi профиле и дистрибуирајте их на Windows, Android, iOS и macOS уређаје. и други, на централизован начин.
Un Intune WiFi профил То је скуп параметара повезивања (SSID, тип безбедности, метод аутентификације, лозинка, сертификати итд.) додељених групама корисника или уређаја. Када уређај прими профил, мрежа се појављује на листи познатих мрежа и, ако је у домету, уређај се може аутоматски повезати без потребе да корисник мења било каква подешавања.
Да бисте креирали стандардни WiFi профил у Intune-у, пратите сличан поступак као и за друге политике: приступате Microsoft Intune администраторски центарИдите на Уређаји, Подешавања, креирајте нову политику, изаберите платформу (Android, iOS, macOS, Windows 10/11, итд.) и изаберите „Wi-Fi“ или одговарајући шаблон као тип профила. Затим дефинишите назив профила, опис и конфигуришите опције специфичне за платформу: SSID, тип аутентификације (WPA2, WPA3, EAP-TLS, итд.), коришћење сертификата, напредне параметре и на крају доделите профил одговарајућим групама.
Алокација се може филтрирати помоћу ознаке опсегаОво је корисно за раздвајање одговорности између различитих ИТ тимова (на пример, локални тим за подршку који управља само једном земљом). Након дистрибуције, профил се појављује на листи Intune профила и аутоматски се примењује када се уређаји синхронизују.
WiFi профили са PSK и XML конфигурацијом помоћу Intune-а
Поред стандардних WiFi профила, Intune вам омогућава да дефинишете WiFi профили засновани на унапред дељеном кључу (PSK) и EAP-у коришћењем прилагођених директива и WiFi CSP-а. Ово се ради путем XML датотека које описују бежични профил и шаљу се уређајима путем OMA-URI-ја.
Унапред дељени кључеви се обично користе за аутентификује кориснике на кућним WiFi мрежама или малим бежичним LAN мрежамаПомоћу Intune-а можете да креирате прилагођену политику конфигурације уређаја која садржи Wi-Fi профил у XML формату и OMA-URI конфигурацију која га испоручује оперативном систему. Ова опција је доступна за Android (укључујући режиме профила Enterprise и Work), Windows и мреже засноване на EAP-у.
Да би функционисало, потребно је да припремите XML датотеку која описује профил, укључујући Име профила, SSID (у тексту и хексадецималном облику), тип аутентификације, тип шифровања, кључ, режим повезивања, да ли је мрежа скривенаитд. Опционо, можете издвојити овај XML са Windows рачунара који већ има конфигурисану мрежу помоћу netsh команди.
Креирање прилагођене политике у Intune-у подразумева повратак на Уређаји, Подешавања, креирање нове политике, избор платформе и одабир типа „Прилагођено“. Унутар опције конфигурације Додајте нови OMA-URI унос који означава:
- име и опис конфигурације.
- El ОМА-УРИ погодно, на пример:
- На Андроиду: ./Vendor/MSFT/WiFi/Profile/{SSID}/Settings
- На Windows-у: ./Vendor/MSFT/WiFi/Profile/{SSID}/WlanXml
- Тип података „String“.
- У „Value“, комплетан XML WiFi профила.
Важно је да вредност {SSID} у OMA-URI-ју одговара описно име мреже у XML профилуАко име садржи размаке, они морају бити кодирани као %20 у OMA-URI. Поред тога, у XML-у, поље Мора остати нетачно како би се кључ слао у отвореном тексту (шифрован каналом за управљање, али не и замаскиран унутар XML-а). Ако је подешено на тачно, уређај би могао очекивати шифровану лозинку и не би успео да се повеже.
Генерички пример WiFi профила са PSK-ом би укључивао блокаду са именом, SSID-ом у хексадецималном формату и текстуалним бројем, ЕСС , ауто , блок са типом аутентификације (нпр. WPA2PSK) и шифровањем (AES), и блок са лозинка , лажно и лозинка , где је „лозинка“ кључ отвореног текста.
За мреже засноване на EAP-у, XML је много сложенији јер укључује конфигурације EapHostConfig, сертификати, валидација сервера, CA хеш листе, EKU, итд.Дефинисани су параметри као што су EAP тип (нпр. 13 за EAP-TLS), извор акредитива (складиште сертификата), да ли је дозвољена валидација сервера и могући филтери сертификата који користе EKU-ове за аутентификацију клијента.
Када се креира прилагођена политика, она се додељује истим групама које бисте користили са стандардним Wi-Fi профилом. Приликом регистрације или синхронизације, уређај прима XML датотеку, увози је као бежични профил и спреман је да се аутоматски повеже са том мрежом.
Направите XML из постојеће WiFi везе
У многим случајевима је практичније дозволити Windows-у да генерише XML из постојеће, функционалне везе. Да бисте то урадили на Windows рачунару, можете пратити ове основне кораке: извезите WiFi профил:
- Направите локалну фасциклу, на пример, c:\WiFi.
- Отворите командну линију као администратор.
- Трцати Нетсх влан схов профили да бисте видели имена постојећих профила.
- Извезите жељени профил помоћу
netsh wlan export profile name=»ProfileName» folder=c:\WiFi.
Ако профил садржи унапред дељени кључ и желите да XML садржи лозинку у обичном тексту (неопходно да би је Intune исправно користио), параметар се додаје. кључ = јасно у команду за извоз. Генерисана XML датотека (са именом сличним Wi-Fi-ProfileName.xml) може се отворити помоћу уређивача текста, прегледати и копирати директно у OMA-URI вредност конфигурације у Intune-у.
Потребно је пратити одређене детаље, као што је елемент Извезени профил не садржи размаке који би могли проузроковати грешке у алокацији при коришћењу Intune-а, или вредност подудара се са наведеним SSID-ом. Поред тога, специјални знакови у XML-у (као што је амперсанд &) морају бити правилно избегнути да би се избегле грешке у обради.
Најбоље праксе при коришћењу PSK и ротирајућих тастера
Приликом управљања WiFi мрежама са PSK-ом у корпоративном окружењу, неопходно је планирати ротација лозинкеНагла промена лозинке без упозорења може да прекине везу са многим уређајима који се ослањају на ту мрежу за комуникацију са Intune-ом и пријем нових подешавања.
Препоручљиво је прво проверити да ли уређаји могу повежите се директно са приступном тачком Са планираном конфигурацијом, дизајнирајте промену кључа тако да постоји алтернативна интернет веза: гостујућа мрежа, привремена паралелна Wi-Fi мрежа или мобилни подаци. На овај начин, чак и ако корпоративни Wi-Fi промени свој PSK, уређаји могу да користе секундарну везу да би примили нови профил.
Такође је препоручљиво заказати распоређивање нових профила у ван шпица и обавестити кориснике да повезивање може бити погођено током одређеног временског периода. Ово смањује утицај на продуктивност и олакшава праћење грешака или аномалија током процеса.
Профили мрежне везе и правила заштитног зида
Нека безбедносна решења, као што су пакети за заштиту крајњих тачака (Хеклоцк), омогућавају дефинисање прилагођени профили мрежне везе Ови профили се примењују на одређене везе на основу окидача или услова. Додају додатни слој конфигурацији Windows-а, подешавајући заштитни зид, видљивост уређаја и друге заштите у складу са мрежом.
У конзоли за напредну конфигурацију обично постоји одељак „Профили мрежне везе“ са унапред дефинисаним профилима као што су приватан y Јавност Ови профили се не могу мењати или брисати. Приватни профил је намењен поузданим мрежама (кућним или канцеларијским), где је дозвољен приступ дељеним датотекама, штампачима, долазној RPC комуникацији и удаљеној радној површини. Јавни профил, с друге стране, блокира дељење датотека и ресурса и намењен је непоузданим мрежама.
Поред ових профила, можете креирати прилагођени профили и подесите параметре као што су име, опис, додатне поуздане адресе, да ли се веза сматра поузданом (додавање целих подмрежа у безбедно подручје) и омогућите функције као што је „Извештај о слабој WiFi енкрипцији“, који вас упозорава када се повежете са отвореним или слабо заштићеним мрежама.
Сваки профил може имати активаториТо јест, услови који морају бити испуњени да би се профил применио на везу: IP адреса гејтвеја, Wi-Fi SSID, тип мреже итд. Профили се процењују према редоследу приоритета, а примењује се први који испуњава услове. Ово омогућава, на пример, да се има посебан профил за Wi-Fi компаније, генерички профил за кућне мреже и веома рестриктиван профил за било коју непознату јавну мрежу.
Управљање профилом и локацијом у напредним окружењима
У напреднијим системима или у пословним мрежама са Соларисом или другим платформама, концепт мрежног профила се комбинује са Јединице за конфигурацију мреже (NCU), групе приоритета и локацијеПреко графичког интерфејса мрежних подешавања или команди као што су ipadm, dladm, netcfg и netadm, можете креирати реактивне и фиксне профиле, груписати интерфејсе и дефинисати правила активације.
Приказ мрежног профила графичког корисничког интерфејса приказује листа доступних профиласа индикаторима који показују који је активан. Системски дефинисани профили, као што су „Аутоматски“ и „ПодразумеваноФиксно“, не могу се уређивати или брисати, али можете креирати више прилагођених реактивних профила. Сваки профил укључује скуп веза (NCU) које се активирају или деактивирају када профил ступи на снагу.
За организовање интерфејса користе се следећи елементи: приоритетне групе са три главна типа:
- Ексклузивно: само једна веза у групи може бити активна, и док је једна активна, групе нижег приоритета се не дотичу.
- Дељено: све могуће везе у групи су активиране и све док је бар једна активна, ниже групе се не користе.
- Све: све морају бити активне; ако једна не успе, све се деактивирају, без покушаја група нижег приоритета.
На пример, профил „Аутоматски“ обично има следеће у својој групи са највишим приоритетом: жични интерфејсиБежичне везе су у групи нижег приоритета. Стога, ако је кабл доступан, Ethernet увек има приоритет, а Wi-Fi се избегава осим ако није апсолутно неопходно.
Као мрежне локацијеОва подешавања групишу конфигурације за сервисе имена (DNS, LDAP, итд.) и безбедност (конфигурационе датотеке за IP и IPsec заштитне зидове). Могу се дефинисати системске локације (Automatic, NoNet, DefaultFixed), ручне локације или условне локације. Ручне локације се активирају ручно преко дијалошког оквира Локације, док се условне локације активирају на основу правила (нпр. тип мреже, добијена IP адреса, итд.).
Из графичког корисничког интерфејса можете променити режим активације локације, подесити га на „само ручно“ или „покренуто правилима“ и изменити та правила да бисте тачно дефинисали У којим ситуацијама се користи сваки скуп политика?Активирање нове локације увек деактивира претходну, осигуравајући да је само једна активна у било ком тренутку.
IPsec профили на рутерима за безбедне везе
Овај цео систем профилисања није ограничен само на уређаје крајњих корисника. Такође се примењује и на професионалне рутере, као што је серија . Cisco RV160 и RV260Користе се IPsec профили који дефинишу како је саобраћај између сајтова заштићен помоћу VPN-а.
Un IPsec профил Групише алгоритме и параметре који се користе у преговарању о кључевима (фаза I и IKE) и шифровању података (фаза II). Ово укључује аспекте као што су алгоритам за шифровање (3DES, AES-128, AES-192, AES-256), метод аутентификације (MD5, SHA1, SHA2-256), Дифи-Хелманова група (нпр. Група 2 од 1024 бита или Група 5 од 1536 бита), трајање безбедносних асоцијација (SA) и да ли се користи аутоматски режим кључања (IKEv1 или IKEv2) или ручни режим кључања.
La фаза I Успоставља безбедну, аутентификовану комуникацију између две VPN крајње тачке, преговарајући о кључевима и аутентификујући вршњаке. У овој фази, бира се IKEv1 или IKEv2, заједно са DH групом, алгоритмом за шифровање и хешем аутентификације, као и животним веком SA (на пример, 28800 секунди). IKEv2 се обично преферира јер је ефикаснији, захтева мање размене пакета и подржава више опција за аутентификацију.
La фаза II Он се бави шифровањем стварног саобраћаја. Ви дефинишете да ли ћете користити ESP (за шифровање и, опционо, аутентификацију) или AH (само аутентификација, без поверљивости), поново бирате алгоритме за шифровање и хеширање, проверавате да ли је жељена савршена тајност унапред (PFS) и подешавате животни век IPsec SA (на пример, 3600 секунди). Препорука је обично да животни век Фазе I буде веће него у фази IIтако да се кључеви података обнављају чешће од кључева канала.
У конфигурацији RV160/RV260, идите на VPN мени > IPSec VPN > IPSec профили, додајте нови профил, назовите га (на пример, „HomeOffice“), изаберите режим креирања кључа (Аутоматски), IKE верзију (идеално IKEv2 ако је оба краја подржавају), параметре Фазе I и Фазе II, омогућите PFS ако је могуће и поново изаберите DH групу за Фазу II. На крају, примените и сачувајте конфигурацију тако да се задржи након поновног покретања копирањем конфигурација која се покреће при покретању.
Кључно је да оба краја тунела од локације до локације имају исти параметри профила (исти алгоритми, животни векови, IKE верзија, PSK или сертификати, итд.). У супротном, преговори ће пропасти и тунел неће бити успостављен.
Заједно, ова комбинација WiFi профила, мрежних профила, локација, Intune конфигурације и IPsec профила на рутерима вам омогућава да изградите окружења у којима се ваш рачунар, лаптоп или мобилни уређај готово аутоматски прилагођава мрежи на којој се налази. Изаберите прави интерфејс, примените исправну безбедност, повежите се на WiFi без интервенције корисника, активирајте VPN када је потребно и прилагодите заштитни зид контексту.То је, на крају крајева, најпрактичнији и најбезбеднији начин за креирање аутоматских профила на основу WiFi мреже коју користите. Поделите ове информације тако да више корисника зна о овој теми..