Com crear perfils automàtics segons la xarxa WiFi que utilitzis

Si aneu saltant cada dia entre la WiFi de casa, la xarxa de l'oficina, la de la universitat o l'hotspot del mòbil, estar canviant la configuració de xarxa a mà és un autèntic suplici. Per sort, a Windows i en altres sistemes tens formes de crear perfils automàtics segons la xarxa WiFi a què et connectes, controlar quina interfície s'activa a cada moment i aplicar polítiques de seguretat o tallafocs adaptades a cada entorn.

En aquest article veuràs, amb tot luxe de detalls, com funcionen els perfils de xarxa, què permeten fer a Windows, com integrar-los amb eines com Intune o amb solucions de seguretat, quins programes de tercers tens per anar més enllà, i com encaixa tot això amb conceptes com a ubicacions, grups de prioritat d'interfícies o perfils IPsec en routers empresarials.

Què és un perfil de xarxa i per què t'interessa fer-lo servir?

Un perfil de xarxa és bàsicament un conjunt de paràmetres predefinits que s'apliquen a una connexió (oa diverses) en funció de certes condicions: la xarxa WiFi a què et connectes, la interfície activa, la ubicació, etc. Aquests paràmetres poden abastar des de la IP i el DNS fins a regles de tallafocs, ús de VPN, impressores, recursos compartits o fins i tot scripts personalitzats.

A Windows, el sistema ja classifica les xarxes com públiques o privades. Quan us connecteu per primera vegada a una WiFi oa una LAN, el sistema pregunta si és una xarxa de confiança. Si dius que sí, es considera privada; si no, pública. Sobre aquesta decisió ajusta el tallafocs i la visibilitat del teu equip a la xarxa, relaxant la seguretat en xarxes domèstiques o oficines petites, i endurint-la a xarxes d'hotels, aeroports o cafeteries.

En una xarxa privada, Windows assumeix que controles qui es connecta i que els dispositius són coneguts. Això permet, per exemple, descobrir altres equips a la xarxa, accedir a carpetes compartides, enviar treballs a impressores en xarxa o utilitzar funcions com ara grups de llar o streaming cap a una Smart TV. El sistema redueix restriccions perquè entén que lentorn és relativament segur.

En una xarxa pública, Windows dóna per fet que la xarxa no és confiança. Per això, desactiva la detecció d'equips, l'ús compartit de fitxers i impressores i altres serveis que t'exposarien a atacs d'altres dispositius connectats, oa vulnerabilitats com la de WhatsApp. Segueixes navegant per Internet, però el teu equip queda aïllat de la resta, cosa crucial quan et connectes al WiFi d'un centre comercial, un aeroport o una xarxa oberta.

El problema apareix quan un mateix ordinador portàtil es mou per múltiples xarxes amb requisits molt diferents: una pot exigir IP estàtica, una altra utilitzar DHCP, en una necessites passar per un proxy corporatiu, en una altra activar una VPN i en una altra no. Anar canviant a mà cada cop és tediós i propens a errors. Aquí entren en joc els perfils de xarxa avançats, tant a Windows com a través de programes especialitzats.

Automatitzar configuracions en canviar de xarxa WiFi al Windows

Windows permet definir diferents paràmetres per perfil de xarxa (públic o privat) i per connexió concreta, però la gestió integrada es queda curta si vols canviar IP, DNS, servidor intermediari, VPN i firewall d'una tacada cada cop que detectes un SSID diferent. Per això el més habitual és combinar el que ofereix el sistema amb eines externes que gestionen perfils avançats.

A la interfície gràfica d'administració de xarxes d'alguns entorns (per exemple, distribucions que usen conceptes similars als NCP de Solaris) es distingeixen perfils de xarxa reactius i fixos. El perfil reactiu Automatic intenta primer aixecar una connexió cablejada i, si no pot, recorre a una sense fils. El perfil fix DefaultFixed defineix un conjunt estàtic d'interfícies que es mantenen sempre igual fins que es canvien amb eines de línia d'ordres.

Aquests perfils controlen quines interfícies es poden activar o desactivar a cada moment. En un portàtil típic amb Ethernet i WiFi, pot interessar-te fer servir només Ethernet quan hi ha cable disponible i apagar la WiFi per seguretat, o just al contrari. La GUI de Preferències de xarxa sol oferir vistes d'estat de connexió, de perfil de xarxa i de propietats de connexió, on veieu l'estat actual, quin perfil està actiu i les propietats específiques (adreça IP, IPv4/IPv6, xarxes sense fils preferides, etc.).

A més, pots definir ubicacions que agrupen ajustaments com a serveis de noms, firewall o IPsec, i que s'activen manualment o de forma condicional segons regles (per exemple, una ubicació «Oficina» si obtens una IP de cert rang, i una altra «Casa» amb altres polítiques). Només una ubicació pot estar activa alhora, i es pot canviar des de la icona d'estat de xarxa o amb ordres com a netadm en sistemes tipus Solaris.

Programes per crear perfils automàtics per xarxa WiFi

Per anar més enllà del que ofereix Windows de sèrie, hi ha eines específiques que permeten crear i aplicar perfils de xarxa complets en funció de la xarxa (SSID) a la que us connecteu o de l'adaptador actiu. Moltes suporten des de Windows XP fins a Windows 11.

Easy Net Switch

Easy Net Switch és un programa de pagament per a Windows que destaca per l'enorme quantitat d'ajustaments de xarxa que podeu gestionar. Encara que la seva interfície recorda a èpoques de Windows XP, segueix sent compatible amb Windows XP, 7, 8, 10 i 11, i inclou tant GUI com mode de línia d'ordres per a usuaris avançats.

Amb Easy Net Switch pots definir perfils que controlen pràcticament tot: adreça IP, màscara, porta d'enllaç, DNS, WINS, NetBIOS, MAC spoofing, WiFi, VPN, proxy, firewall, impressora predeterminada, unitats de xarxa, rutes estàtiques, i fins i tot executar scripts o modificar el fitxer hosts. Cada paràmetre és opcional; pots limitar-te a la IP i DNS o muntar un perfil molt complex per a un entorn corporatiu.

La creació d'un perfil sol fer-se des del botó New, amb un assistent bàsic que després pots retocar al teu gust. A la secció "Network" tries si la IP i DNS s'obtenen per DHCP o si són estàtics, ia "Advanced" pots modificar WINS, NetBIOS, canviar l'adreça MAC, purgar la memòria cau DNS i molt més. El programa mostra en aplicar un perfil un resum dels canvis i si hi ha hagut errors, cosa que facilita el diagnòstic si alguna cosa no funciona.

A l'apartat WiFi, Easy Net Switch permet definir perfils sense fil vinculats a SSID concrets. Podeu escanejar xarxes disponibles o introduir el nom manualment i ajustar l'autenticació: des de claus precompartides (PSK) fins a autenticació robusta amb RADIUS i diferents protocols EAP. Això us permet que, per exemple, cada vegada que veieu el SSID de l'empresa es prepari automàticament el perfil amb la clau, l'autenticació EAP adequada i, si cal, la VPN.

El programa també gestiona configuració de proxy corporatiu (inclosa autenticació), Dial-Up, VPN, i fins i tot ofereix eines com ping i traceroute integrades, a més d'un giny d'escriptori per veure en tot moment la IP actual. Entre les opcions s'inclou arrencar amb Windows, minimitzar la safata del sistema, desactivar l'autodetecció de xarxes WiFi o protegir l'accés al programa amb contrasenya per evitar canvis no autoritzats.

TCP/IP Manager

TCP/IP Manager és un projecte de codi obert i gratuït que, tot i que no s'actualitza des de fa anys, continua funcionant bé en versions recents de Windows. Se centra a crear perfils de xarxa il·limitats que canvien ràpidament la configuració IP, màscara, gateway, DNS, proxy, nom de grup de treball i adreça MAC.

Un dels seus avantatges és que permet importar la configuració actual del sistema per crear un perfil a partir del que ja tens, sense haver d'escriure-ho tot a mà. També dóna l'opció d'associar fitxers batch a cada perfil, de manera que en activar-lo s'executin automàticament ordres addicionals (per exemple, muntar unitats de xarxa o llançar una VPN).

El canvi entre perfils es pot fer des de la pròpia interfície o mitjançant tecles d'accés ràpid, ideal per a usuaris que necessiten moure's de pressa entre entorns (xarxa corporativa, laboratori, client, etc.). A més, el programa s'actualitza automàticament per web quan hi ha versions noves, sense que hagis de descarregar-les manualment.

IP Shifter

IP Shifter és una opció lleugera i gratuïta pensada per als que necessiten una mica més senzill. Suporta Windows XP i versions posteriors, inclòs Windows 10 i Windows 11, i funciona amb diferents adaptadors, tant Ethernet com WiFi.

La seva funció principal és permetre't canviar sense reiniciar la configuració IP, màscara, porta d'enllaç i DNS dels adaptadors. També maneja configuracions de proxy per a navegadors com Microsoft Edge o Firefox, integra una ordre ping ràpid i pot detectar els equips presents a la LAN, així com mostrar la IP pública que veu Internet.

No té el nivell de profunditat d'Easy Net Switch o NetSetMan, però per canviar entre dos o tres entorns bàsics (per exemple, IP fixa en una xarxa industrial i DHCP a casa teva) sol ser suficient.

NetSetMan

NetSetMan probablement és l'alternativa gratuïta més potent a Easy Net Switch. Disposa d'una versió sense cost fins a vuit perfils i una versió Pro (de pagament) amb perfils il·limitats i més opcions orientades a empreses. La seva filosofia és que amb un sol clic puguis activar un conjunt complet de paràmetres de xarxa.

Entre les configuracions que permet hi ha les clàssiques (IP, màscara, gateway, DNS), el grup de treball, la impressora predeterminada, unitats de xarxa, taula d'encaminament, servidor SMTP, nom del PC, adreça MAC, estat de la targeta de xarxa, velocitat de la interfície, MTU, VLAN i molt més. També podeu definir paràmetres de servidors VPN, llançar scripts en bat, vbs o js en canviar de perfil, executar altres programes i fins i tot administrar detalladament la configuració WiFi.

La versió Pro afegeix funcions com les configuracions de proxy avançades i dominis de xarxa, molt útils per integrar-se amb entorns de domini corporatiu i servidors intermediaris centralitzats. Això sí, la versió gratuïta no es pot utilitzar a Windows Server i limita el nombre de perfils a vuit, cosa a tenir en compte si gestiones moltes ubicacions.

Perfils WiFi gestionats amb Microsoft Intune

En entorns corporatius on gestiones centenars o milers de dispositius, no pots dependre que cada usuari configuri la xarxa WiFi correctament. Aquí entra Microsoft Intune, que permet crear perfils WiFi i distribuir-los a equips Windows, Android, iOS, macOS i d'altres, de manera centralitzada.

Un perfil WiFi d'Intune és un conjunt de paràmetres de connexió (SSID, tipus de seguretat, mètode d'autenticació, contrasenya o certificats, etc.) que s'assigna a grups d'usuaris o dispositius. Quan el dispositiu rep el perfil, la xarxa apareix a la llista de xarxes conegudes i, si està dins de cobertura, l'equip es pot connectar automàticament sense que l'usuari hagi de tocar la configuració.

Per crear un perfil de WiFi estàndard a Intune, se segueix un procés similar al d'altres directives: accedeixes al Centre d'administració de Microsoft Intune, entres a Dispositius, Configuració, crees una nova directiva, tries la plataforma (Android, iOS, macOS, Windows 10/11, etc.) i com a tipus de perfil selecciones Wi-Fi o la plantilla corresponent. Després defineixes el nom del perfil, una descripció i configures les opcions específiques segons la plataforma: SSID, tipus d'autenticació (WPA2, WPA3, EAP-TLS, etc.), ús de certificats, paràmetres avançats, i finalment assignes el perfil als grups adequats.

L'assignació es pot filtrar amb etiquetes d'àmbit, útils per separar responsabilitats entre diferents equips de TI (per exemple, un equip de suport local gestionant només un país). Un cop distribuït, el perfil es mostra a la llista de perfils d'Intune i s'aplica automàticament quan els dispositius se sincronitzen.

Perfils WiFi amb PSK i configuració XML mitjançant Intune

A més dels perfils WiFi estàndard, Intune permet definir perfils WiFi basats en clau precompartida (PSK) i EAP usant directives personalitzades i CSP de WiFi. Això es fa a través de fitxers XML que descriuen el perfil sense fil i que s'envien als dispositius mitjançant OMA-URI.

Les claus precompartides es fan servir habitualment per a autenticar usuaris en xarxes WiFi domèstiques o petites LAN sense fil. Amb Intune pots crear una directiva de configuració de dispositius personalitzada que contingui el perfil WiFi en XML i una configuració d'OMA-URI que el lliuri al sistema operatiu. Aquesta opció està disponible per a Android (incloent modes Enterprise i perfil de treball), Windows i xarxes basades en EAP.

Perquè funcioni, necessites preparar un fitxer XML que descrigui el perfil, incloent-hi nom del perfil, SSID (en text i en hexadecimal), tipus d'autenticació, tipus d'encriptació, clau, mode de connexió, si la xarxa és oculta, etc. Opcionalment, podeu extreure aquest XML des d'un equip Windows que ja tingui configurada la xarxa mitjançant ordres netsh.

La creació de la directiva personalitzada a Intune implica tornar a Dispositius, Configuració, crear una nova directiva, triar la plataforma i seleccionar tipus «Personalitzat». Dins les opcions de configuració afegeixes una nova entrada OMA-URI indicant:

• Nom i descripció de la configuració.
• El OMA-URI adequat, per exemple:
  • A Android: ./Vendor/MSFT/WiFi/Profile/{SSID}/Settings
  • A Windows: ./Vendor/MSFT/WiFi/Profile/{SSID}/WlanXml
• Tipus de dades «Cadena».
• A «Valor», l'XML complet del perfil WiFi.

És important que el valor de {SSID} a l'OMA-URI coincideixi amb el nom descriptiu de la xarxa al perfil XML. Si el nom conté espais, s'han de codificar com a %20 a l'OMA-URI. A més, a l'XML el camp ha de romandre en false perquè la clau s'enviï en text clar (xifrada pel canal de gestió, però no ofuscada dins de l'XML). Si s'estableix a true, el dispositiu podria esperar una contrasenya xifrada i fallar la connexió.

Un exemple genèric de perfil WiFi amb PSK inclouria un bloc amb el nom, el SSID en hex i text, ESS , auto , un bloc amb el tipus d'autenticació (per exemple, WPA2PSK) i encriptació (AES), i un bloc amb passPhrase , false i password , on «password» és la clau en text pla.

Per a xarxes basades en EAP, l'XML és molt més complex perquè inclou configuracions de EapHostConfig, certificats, validació de servidor, llistes de hashes de CA, EKU, etc.. Es defineixen paràmetres com el tipus EAP (per exemple, 13 per a EAP-TLS), la font de credencials (magatzem de certificats), si es permet o no la validació de servidor, i possibles filtres de certificats mitjançant EKU d'autenticació de client.

Un cop creada la directiva personalitzada, s'assigna als mateixos grups que podries fer servir amb un perfil WiFi estàndard. En registrar-se o sincronitzar, el dispositiu rep l'XML, l'importa com a perfil sense fil i queda llest per connectar-se automàticament a aquesta xarxa.

Crear l'XML des d'una connexió WiFi existent

En molts casos és més còmode deixar que el Windows generi l'XML a partir d'una connexió ja configurada i funcional. Per això, en un equip Windows es poden seguir aquests passos bàsics per exportar el perfil WiFi:

1. Creeu una carpeta local, per exemple, c:\WiFi.
2. Obrir un símbol del sistema com a administrador.
3. executar netsh wlan mostra perfils per veure els noms dels perfils existents.
4. Exportar el perfil desitjat amb
   netsh wlan export profile name=»Nomperfil» folder=c:\WiFi.

Si el perfil inclou una clau precompartida i voleu que l'XML contingui la contrasenya en clar (necessari perquè Intune la pugui utilitzar correctament), s'afegeix el paràmetre key = clear a l'ordre d'exportació. El fitxer XML generat (amb nom similar a Wi-Fi-NombrePerfil.xml) es pot obrir amb un editor de text, revisar-se i copiar-se directament al valor de la configuració OMA-URI d'Intune.

Cal vigilar certs detalls, com ara l'element del perfil exportat no inclogui espais que puguin causar errors d'assignació en utilitzar Intune, o que el valor coincideixi amb el SSID indicat. A més, els caràcters especials en XML (com l'ampersand &) s'han d'escapar correctament per evitar errors de processament.

Bones pràctiques en utilitzar PSK i rotar claus

Quan es gestionen xarxes WiFi amb PSK en un entorn corporatiu, és fonamental planificar bé la rotació de contrasenyes. Canviar la clau de cop sense previsió pot deixar sense connexió a un munt de dispositius que depenen daquesta xarxa per comunicar-se amb Intune i rebre la nova configuració.

És recomanable comprovar primer que els dispositius poden connectar-vos directament al punt d'accés amb la configuració prevista, i dissenyar el canvi de claus de manera que hi hagi una connexió alternativa a Internet: una xarxa de convidats, una altra WiFi paral·lela temporal o dades mòbils. D'aquesta manera, encara que la WiFi corporativa canviï de PSK, els dispositius poden fer servir la via secundària per rebre el nou perfil.

També convé programar el desplegament de nous perfils a horari de baixa activitat i avisar els usuaris que la connectivitat es pot veure afectada durant un temps. Això redueix limpacte en la productivitat i facilita la supervisió derrors o anomalies durant el procés.

Perfils de connexió de xarxa i regles de tallafocs

Algunes solucions de seguretat, com suites de protecció d'endpoint (Hexlock), permeten definir perfils de connexió de xarxa personalitzats que s'apliquen a connexions concretes segons disparadors o condicions. Aquests perfils afegeixen una capa més sobre la configuració del Windows, ajustant el tallafocs, la visibilitat de l'equip i altres proteccions segons la xarxa.

A la consola de configuració avançada, sol existir un apartat de «Perfils de connexió de xarxa» amb perfils predefinits com privat y Públic que no es poden modificar ni eliminar. El perfil Privat està pensat per a xarxes de confiança (llar o oficina), on es permet l'accés a fitxers compartits, impressores, comunicació RPC entrant i escriptori remot. El perfil Públic, en canvi, bloqueja l'ús compartit de fitxers i recursos i es destina a xarxes no fiables.

A més d'aquests perfils, podeu crear perfils personalitzats i ajustar paràmetres com a nom, descripció, adreces de confiança addicionals, si la connexió es considera de confiança (afegint subxarxes completes a l'àrea segura), i habilitar funcions com ara «Informe sobre xifrat WiFi feble», que avisa quan et connectes a xarxes obertes o amb protecció deficient.

Cada perfil pot tenir activadors, és a dir, condicions que cal complir perquè s'apliqui a una connexió: adreces IP del gateway, SSID de la WiFi, tipus de xarxa, etc. Els perfils s'avaluen seguint un ordre de prioritat, i el primer que coincideix amb les condicions és el que s'hi aplica. Això permet, per exemple, tenir un perfil específic per a la WiFi de l'empresa, un altre de genèric per a xarxes domèstiques i un de molt restrictiu per a qualsevol xarxa pública desconeguda.

Gestió de perfils i ubicacions en entorns avançats

En sistemes més avançats o en xarxes empresarials amb Solaris o altres plataformes, el concepte de perfil de xarxa es combina amb NCU (Network Configuration Units), grups de prioritat i ubicacions. Mitjançant una interfície gràfica de Preferències de xarxa o d'ordres com ipadm, dladm, netcfg i netadm es poden crear perfils reactius, fixos, agrupar interfícies i definir regles d'activació.

A la vista de Perfil de xarxa de la GUI es mostra una llista de perfils disponibles, amb indicadors de quin està actiu. Els perfils definits pel sistema, com ara Automatic i DefaultFixed, no es poden editar ni esborrar, però podeu crear múltiples perfils reactius propis. Cada perfil inclou un conjunt de connexions (NCU) que s'activen o es desactiven quan el perfil entra en vigor.

Per organitzar interfícies es fan servir grups de prioritat amb tres tipus principals:

• Exclusivament: només una connexió del grup pot estar activa, i mentre hi hagi una activa no es toquen grups de menor prioritat.
• Shared: s'activen totes les connexions possibles del grup, i mentre almenys una estigui activa no es recorre a grups inferiors.
• All: totes han d'estar actives; si una falla, es desactiven totes, sense intentar grups de menor prioritat.

El perfil «Automatic», per exemple, sol tenir al grup de màxima prioritat les interfícies cablejades, i en un grup de menor prioritat les sense fil. Així, si hi ha cable disponible, es prioritza sempre Ethernet i s'evita fer servir WiFi llevat que sigui imprescindible.

Quant a les ubicacions de xarxa, aquestes agrupen ajustaments de serveis de noms (DNS, LDAP, etc.) i seguretat (arxius de configuració per a firewall IP i IPsec). Es poden definir ubicacions del sistema (Automatic, NoNet, DefaultFixed), manuals o condicionals. Els manuals s'activen a mà a través del quadre de diàleg d'ubicacions, mentre que els condicionals s'activen en funció de regles (per exemple, tipus de xarxa, adreça IP obtinguda, etc.).

Des de la GUI podeu canviar el mode d'activació d'una ubicació, fixar-la a «només manual» o «activada per regles», i editar aquestes regles per definir exactament en quines situacions es fa servir cada conjunt de polítiques. L'activació d'una nova ubicació desactiva sempre l'anterior i garanteix que només una estigui vigent a cada moment.

Perfils IPsec en routers per a connexions segures

Tot aquest joc de perfils no es queda als dispositius finals. A routers professionals, com les sèries Cisco RV160 i RV260, es manegen perfils IPsec que defineixen com es protegeix el trànsit entre seus mitjançant VPN.

Un perfil IPsec agrupa els algorismes i paràmetres usats en la negociació de claus (fase I i IKE) i en el xifratge de dades (fase II). Inclou aspectes com l'algorisme de xifratge (3DES, AES-128, AES-192, AES-256), el mètode d'autenticació (MD5, SHA1, SHA2-256), el grup Diffie-Hellman (per exemple, Grup 2 de 1024 bits o durada) mode automàtic de claus (IKEv1 o IKEv2) o mode manual.

La fase I estableix una comunicació autenticada segura entre els dos extrems de la VPN, negociant les claus i autenticant els parells. En aquesta fase s'escull IKEv1 o IKEv2, el grup DH, l'algorisme de xifratge i el hash d'autenticació, així com el temps de vida de la SA (per exemple, 28800 segons). IKEv2 sol ser preferible perquè és més eficient, requereix menys intercanvi de paquets i suporta més opcions d'autenticació.

La fase II s'encarrega de xifrar el trànsit real. Es defineix si es fa servir ESP (per a xifrat i, opcionalment, autenticació) o AH (només autenticació, sense confidencialitat), es tria de nou algorisme de xifrat i hash, es marca si es vol Perfect Forward Secrecy (PFS) i s'ajusta el temps de vida de la SA IPsec (per exemple, 3600 segons). La recomanació sol ser que el temps de vida de la fase I sigui més gran que el de la fase II, de manera que es renovin amb més freqüència les claus de dades que les de canal.

A la configuració d'un RV160/RV260, s'entra al menú VPN > IPSec VPN > IPSec Profiles, s'afegeix un nou perfil, se li dóna nom (per exemple, HomeOffice), s'escull el mode de creació de claus (Automàtic), la versió IKE (idealment IKEv2 si els dos extrems la suporten, si és possible i es torna a seleccionar el grup DH per a la fase II. Finalment s'aplica i es guarda la configuració perquè persisteixi entre reinicis copiant la configuració en execució a la d'inici.

És crucial que els dos extrems d'un túnel de lloc a lloc tinguin els mateixos paràmetres de perfil (mateixos algorismes, temps de vida, versió d'IKE, PSK o certificats, etc.). Si no, la negociació fallarà i el túnel no s'aixecarà.

Vista en conjunt, tota aquesta combinació de perfils WiFi, perfils de xarxa, ubicacions, configuració amb Intune i perfils IPsec en routers permet construir entorns on el teu equip, portàtil o mòbil s'adapta gairebé només a la xarxa on està: tria la interfície adequada, aplica la seguretat correcta, es connecta al WiFi sense intervenció de l'usuari, aixeca la VPN quan toca i ajusta el tallafocs al context. Aquesta és, al final, la manera més pràctica i segura de crear perfils automàtics segons la xarxa WiFi que utilitzis. Comparteix aquesta informació perquè més usuaris coneguin del tema.