VPN у Windows: падбярыце кліент пад профіль

Windows паведамляе, што тунель падключаны, а старонка ўнутранай сеткі ўсё яшчэ не адкрываецца, і профіль прыйшоў ад чалавека, які даўно звольніўся. За гэтым стаяць дзве асобныя памылкі: няправільны кліент для файла і няправільнае ўяўленне пра тое, што тунель ахоплівае. Каб адрозніць іх, трэба некалькі каманд, і гэта зэканоміць пераўсталёўку. Ні адна з іх не выпраўляецца перазапускам.

Убудаваны кліент імпартуе толькі свае тыпы

Windows пастаўляецца з VPN-кліентам, які разумее пэўныя тыпы злучэння, і не будзе імпартаваць файл OpenVPN або канфігурацыю WireGuard, як бы файл ні называўся. Для іх патрэбна ўласная праграма, усталяваная з праверанай старонкі спампоўкі пастаўшчыка. Знаёмы пункт у сеткавым меню не даказвае, што сервер яго падтрымлівае, а профіль, пераназваны са знаёмым пашырэннем, застаецца няправільным файлам. Тып злучэння мусіць адпавядаць таму, што даў аператар, а не таму, што выпадкова прапануе меню.

Для ўласнага злучэння дадайце яго праз сеткавыя налады і ўвядзіце менавіта тыя значэнні, якія вам далі. IKEv2 на аснове сертыфіката і пункт уваходу з іменем і паролем — розныя канфігурацыі, нават калі абедзве апынуцца пад адным загалоўкам. Калі кіраваная прылада ўжо дае злучэнне, выкарыстоўвайце яго, а не будайце другое побач.

Крокі ўваходу не ўзаемазаменныя

Злучэнне можа патрабаваць імя і пароль, сертыфікат кліента, інтэрактыўны запыт або некалькі з іх паслядоўна. Парольная фраза прыватнага ключа адкрывае ключ і не з’яўляецца паролем службы, нават калі абедзве ўводзяць у адным дыялогу. Папярэджанне пра сертыфікат тычыцца ідэнтычнасці або даверу, а не таго, ці правільна напісана імя ўліковага запісу. Разуменне, якое з трох не спрацавала, вызначае наступны крок.

Чытайце адмову, а не паўтарайце спробу. Памылка аўтэнтыфікацыі і памылка даверу выглядаюць падобна ў акне стану і не маюць нічога агульнага ўнутры: першай патрэбныя ўліковыя дадзеныя, другой — ланцуг, які кліент прымае.

Трымайце ўліковыя дадзеныя і матэрыялы сертыфікатаў па-за здымкамі экрана. Фота старонкі налад можа адразу выкрыць адрас сервера і захаванае імя карыстальніка, а тэма падтрымкі часцей за чаканні людзей з’яўляецца публічным дакументам. Зацямняйце перад публікацыяй, а не пасля таго, як хтосьці ўжо працытаваў.

У PowerShell Get-VpnConnection пералічвае тое, што Windows лічыць наладжаным, у тым ліку запісы, якія акно налад хавае з вачэй. З каманднага радка cmd rasdial падключаецца па назве злучэння, а ipconfig /all паказвае, што адаптар фактычна атрымаў. Дзве абалонкі не падзяляюць адзін разборшчык, таму ўстаўляйце кожны радок у патрэбную.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Вырашае табліца маршрутызацыі, а не значок адаптара

Карпаратыўны тунель можа маршрутызаваць толькі офісныя прызначэнні, пакідаючы звычайны прагляд на лакальным злучэнні, а профіль поўнага тунеля робіць наадварот. Адкрыйце рэальны рэсурс, перш чым вырашыць, што паводзіны няправільныя. Значок паказвае стан адаптара, а адказ жыве ў табліцы маршрутызацыі. Гэтыя двое разыходзяцца часцей, чым прызнае акно стану.

Больш канкрэтныя запісы могуць накіраваць падсетку ў тунель, а маршрут па змаўчанні застанецца звонку, і менавіта так і мае выглядаць раздзелены тунель. Адсутны запіс — іншы часты вынік, і з браўзера ён выглядае гэтак жа, як тунель, што не працуе. Параўноўвайце прэфікс, да якога не даяце, з табліцай, а не са значком. Вось чаму значок і табліца могуць разыходзіцца, калі абодва кажуць праўду пра рознае.

Не выдаляйце маршруты толькі таму, што ў табліцы ёсць незнаёмыя адаптары. Віртуальная машына, драйвер фільтра або другі кліент могуць дадаць свой, і выдаленне зламае тое, што раней працавала.

route print -4
nslookup intranet.corp.internal

Прыватныя імёны патрабуюць рэзалвера арганізацыі

Прыватныя імёны патрабуюць рэзалвера арганізацыі, а браўзер з уласным бяспечным DNS можа цалкам абысці сістэмную наладу. Гэта стварае заблытаны выпадак, калі запыт з каманднага радка вяртае адрас, а тое ж імя ўсё яшчэ не адкрываецца ў браўзеры.

Перад любымі зменамі праверце, які адаптар даў бягучую канфігурацыю DNS. Пакіньце рэзалвер арганізацыі для прыватных імёнаў, замест таго каб замяняць яго публічнай службай. Замена на публічны рэзалвер звычайна выпраўляе публічнае імя і ламае ўсе ўнутраныя, што горш за пачатковую праблему. Калі злучэнне паведамляе пра поспех, а нішто не працуе, разбярыцеся з перанакіраваннем і DNS, перш чым скідваць сеткавы стек.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Дакументацыя Microsoft пра тыпы VPN-злучэнняў Windows і ўбудовы — гэта даведнік, які кліент апрацоўвае які тып, і ніводная назва ў меню пра гэта не кажа. Пасля любой змены перападключыцеся і паўтарыце спробу ў рэальнай праграме, а не на значку стану. Захавайце працоўны профіль там, дзе знойдзеце яго зноў, і запішыце рэзалвер і маршрут, якія далі яму працаваць, бо наступнай машыне спатрэбяцца абодва.