Скід сеткі ў Windows выдаляе болей, чым няспраўнасць VPN
Скід ачышчае адаптары, маршруты і фільтры WFP, а не толькі зламаны тунель. Спачатку захавайце профіль, спіс сертыфікатаў і доказы, потым правярайце па ўзроўнях.
Парада прыходзіць на працягу дзесяці хвілін пасля любой скаргі на VPN у Windows: запусці скід сеткі, ён усё выправіць. Не выправіць, і ён не вузкі. Гэтая кнопка ачышчае адаптары, зноў звязвае пратаколы, выдаляе статычныя адрасы і маршруты па змаўчанні, выкідвае запісы брэндмаўэра і фільтраў і да таго ж забывае профілі Wi-Fi. На машыне з працоўным, але няправільна наладжаным тунелем ён ператварае адну дыягнаставаную няспраўнасць у недакументаваную перабудову. Захавайце спачатку пяць рэчаў, і вы захаваеце магчымасць гэта адмяніць.
Скід не абмежаваны профілем VPN
Падключэнне VPN — адзін аб'ект сярод многіх, што дзеляць сеткавы стэк. Выдаленне і паўторнае даданне адаптара змяняе індэкс інтэрфейса, і ўсё, што спасылалася на гэты індэкс, ад маршруту да правіла брэндмаўэра і да драйвера старонняга фільтра, цяпер спасылаецца на тое, чаго больш няма.
Віртуалізацыя пагаршае. Камутатары Hyper-V, масты VMware, сеткі кантэйнераў і VPN-кліенты з уласнымі віртуальнымі адаптарамі жывуць у адной прасторы. Скід, які пераўсталёўвае базавы стэк, можа пакінуць гэтыя кампаненты напалову прысутнымі, і машына, што атрымалася, паведамляе пра працоўнае абсталяванне без працоўнага шляху.
Нішто з гэтага не довад супраць таго, каб калі-небудзь скідаць. Гэта довад супраць таго, каб скідаць першым, на машыне, якую вы не задакументавалі, калі сапраўдная няспраўнасць можа быць адным запісам маршруту або адным састарэлым фільтрам. Скід — шырокі інструмент з вузкай доляй поспеху, і выкарыстанне яго як першага ходу гарантуе, што вы ніколі не даведаецеся, што менавіта з двух гэта было.
Захавайце доказы да таго, як захаваеце налады
Самы збой — гэта даныя. Запішыце дакладны код памылкі, час, які профіль быў выбраны і ці зарэгістраваў шлюз хоць адну спробу. Код, які кажа, што тунель так і не атрымаў адказу, і код, які кажа, што аўтэнтыфікацыя не ўдалася, паказваюць на цалкам розныя выпраўленні. Пасля скіду ўзнавіць, магчыма, не ўдасца ні тое, ні тое. Стаўцеся да зламанага стану як да актыву, які вы вось-вось выдаткаваце.
Зафіксуйце стан, пакуль ён яшчэ зламаны, у тэчку па-за часовымі каталогамі машыны:
mkdir C:\vpn-evidence
ipconfig /all > C:\vpn-evidence\ipconfig.txt
route print > C:\vpn-evidence\routes.txt
Get-VpnConnection -AllUserConnection | Export-Csv C:\vpn-evidence\profiles.csv -NoTypeInformation
netsh wfp show state file=C:\vpn-evidence\wfp.xmlАпошняя каманда — тая, якую людзі прапускаюць, і часта менавіта яна тлумачыць няспраўнасць. Засталыя фільтры выдаленага кліента жывуць як пастаянная палітыка, і выгружаны XML — адзіны лакальны запіс пра іх. Прачытайце яго да таго, як скід сатрэ тое, што вы спрабавалі пазнаць.
Захавайце канфігурацыю, якая не вернецца
Некаторыя параметры ствараюцца нанова аўтаматычна. Статычныя адрасы, нестандартныя маршруты, суфіксы DNS, выключэнні проксі і правілы брэндмаўэра — не. Самі профілі таксама, яны жывуць у файле тэлефоннай кнігі, які скід за вас не аднавіць.
| What to save | Where it lives | Why the reset loses it |
|---|---|---|
| VPN profiles | rasphone.pbk in ProgramData or the user profile | Profiles are not part of the adapter state |
| Static IP and DNS | Adapter configuration | Adapters are removed and recreated |
| Persistent filters | WFP policy store | Filter state is cleared with the stack |
| Third-party bindings | Adapter binding list | Components must be reinstalled manually |
Get-NetIPConfiguration | Out-File C:\vpn-evidence\netip.txt
Get-NetRoute -AddressFamily IPv4 | Export-Csv C:\vpn-evidence\netroutes.csv -NoTypeInformation
Get-DnsClientServerAddress | Export-Csv C:\vpn-evidence\dns.csv -NoTypeInformation
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject,Thumbprint,NotAfterСпіс сертыфікатаў важнейшы, чым здаецца. Скід сеткі не знішчае кліенцкія сертыфікаты, але спіс кажа, ад якіх залежаў профіль і ці не сканчаецца які хутка. Выяўленне пратэрмінаванага сертыфіката пасля перабудовы марнуе перабудову.
Запішыце шлях аднаўлення да пачатку працы
Калі машына аддаленая і VPN — адзіны ўваход, скід можа абарваць сеанс, і без чалавека на месцы зваротнага шляху можа не быць. Пацвердзіце, што доступ па-за паласой ёсць, або што чалавек даступны, перш чым запускаць што-небудзь, што кранае адаптары.
Трымайце інсталятары і даныя падключэння там, дзе машына зможа дастаць іх потым. Кліент, які даводзіцца пераўсталёўваць з партала пастаўшчыка, даступнага праз тунель, — гэта цыклічная залежнасць, і гэта самы часты спосаб, якім гэтая працэдура становіцца прастоем.
Потым запішыце, што вы робіце і чаму, разам з дакладнымі камандамі. Наступнаму чалавеку трэба ведаць, быў скід эксперыментам ці рашэннем, а «мы пераспрабавалі ўсё» — не запіс.
Правярайце па ўзроўнях пасля скіду
Аднаўленне занадта многага адразу робіць вынік нечытальным. Працуйце знізу: адаптар і адрас, потым развязанне імён, потым этап ідэнтычнасці тунеля, потым праграма. У кожнага ўзроўню ёсць каманда, што адказвае на яго ўласнае пытанне:
Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceDescription
Resolve-DnsName intranet.example.internal
Get-VpnConnection -Name 'Corp' | Select-Object ConnectionStatus,TunnelType
Test-NetConnection -ComputerName intranet.example.internal -Port 443Калі ўзровень адаптара здаровы, а развязанне імён не, спыніцеся і паладзіце развязанне. Пераўсталяванне VPN-кліента ў гэты момант дадае зменную і забірае падказку. Аднаўляйце толькі тыя налады, якія можаце патлумачыць, па адной, правяраючы той самы ўзровень пасля кожнай.
Уласныя настаўленні Microsoft па ўхіленні няспраўнасці 720, напрыклад, адрозніваюць праблемы прывязкі ад праблем выдзялення адрасоў замест таго, каб прыпісваць агульны скід, і гэта правільны інстынкт для кожнага кода ў гэтай сям'і. Прачытайце, што сцвярджае код, перш чым цягнуцца да найшырэйшага даступнага інструмента.