VPN под Windows: съпоставете клиента с профила

Windows съобщава, че тунелът е свързан, докато страницата на вътрешната мрежа все още изтича по време, а профилът е дошъл от човек, който отдавна е напуснал. Зад това състояние стоят две отделни грешки: грешният клиент за файла и грешното очакване какво покрива тунелът. Различаването им отнема няколко команди и спестява преинсталиране. Нито една от тях не се оправя с рестарт.

Вграденият клиент импортира само собствените си типове

Windows идва с VPN клиент, който разбира определени типове връзки и няма да импортира OpenVPN файл или WireGuard конфигурация, както и да е именуван файлът. Те се нуждаят от собствен софтуер, инсталиран от проверената страница за изтегляне на доставчика. Познат запис в мрежовото меню не е доказателство, че сървърът го поддържа, а профил, преименуван с познато разширение, все още е грешният файл. Типът връзка трябва да съответства на това, което е предоставил операторът, а не на това, което менюто случайно предлага.

За собствена връзка я добавете през мрежовите настройки и въведете точно стойностите, които са ви дадени. IKEv2 със сертификат и вход с потребителско име и парола са различни конфигурации, дори когато и двете попаднат под едно и също заглавие. Ако управлявано устройство вече предоставя връзка, използвайте нея, вместо да строите втора до нея.

Стъпките за вход не са взаимозаменяеми

Една връзка може да изисква потребителско име и парола, клиентски сертификат, интерактивна подкана или няколко от тях последователно. Паролата за частен ключ отключва ключ и не е паролата за услугата, дори когато и двете се въвеждат в един и същ диалог. Предупреждението за сертификат е за самоличност или доверие, не за това дали името на акаунта е написано правилно. Разчитането кое от трите е отказало определя следващата стъпка.

Прочетете отказа, вместо да го повтаряте. Отказът при удостоверяване и отказът при доверие изглеждат сходно в прозореца за състояние и нямат нищо общо отдолу: първият се нуждае от идентификационни данни, вторият от верига, която клиентът приема.

Пазете идентификационните данни и сертификатните материали извън екранните снимки. Снимка на страница с настройки може да разкрие адрес на сървър и запазено потребителско име наведнъж, а тема за поддръжка е публичен документ по-често, отколкото хората очакват. Замаскирайте преди публикуване, а не след като някой вече я е цитирал.

В PowerShell Get-VpnConnection изброява това, което Windows смята за конфигурирано, включително записи, които прозорецът с настройки крие от поглед. От командния ред на cmd rasdial се свързва по име на връзката, а ipconfig /all показва какво реално е получил адаптерът. Двете обвивки не споделят един анализатор, затова поставяйте всеки ред в правилната.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Решава таблицата с маршрути, а не иконата на адаптера

Корпоративен тунел може да маршрутизира само офис дестинации, оставяйки обикновеното сърфиране на локалната връзка, докато профил с пълен тунел прави обратното. Отворете реалния ресурс, преди да решите, че някое от двете поведения е грешно. Иконата отчита състоянието на адаптера, а отговорът живее в таблицата с маршрути. Тези две се разминават по-често, отколкото прозорецът за състояние признава.

По-конкретни записи могат да изпратят подмрежа в тунела, докато маршрутът по подразбиране остава извън него, а точно така трябва да изглежда разделеният тунел. Липсващият запис е другият чест резултат и от браузъра изглежда идентично на тунел, който не работи. Сравнете префикса, до който не стигате, с таблицата, а не с иконата. Ето защо иконата и таблицата могат да се разминават, докато и двете казват истината за различни неща.

Не изтривайте маршрути, защото в таблицата има адаптери, които не разпознавате. Виртуална машина, филтърен драйвер или втори клиент могат да добавят по един, а премахването му чупи нещо, което е работело.

route print -4
nslookup intranet.corp.internal

Частните имена се нуждаят от резолвера на организацията

Частните имена се нуждаят от резолвера на организацията, а браузър със собствен сигурен DNS може напълно да заобиколи системната настройка. Така се получава объркващият случай, в който заявка от командния ред връща адрес, а същото име все още се проваля в браузъра.

Проверете кой адаптер е предоставил текущата DNS конфигурация, преди да променяте каквото и да е. Запазете резолвера на организацията за частни имена, вместо да го заменяте с публична услуга. Замяната с публичен резолвер обикновено поправя публично име и чупи всяко вътрешно, което е по-лош провал от първоначалния. Ако връзката съобщава успех и нищо не работи, преминете през препращането и DNS, преди да нулирате мрежовия стек.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Документацията на Microsoft за типовете VPN връзки в Windows и добавките е справочникът кой клиент кой тип обработва и нито един етикет в менюто не ви казва това. Свържете се отново след всяка промяна и опитайте реалното приложение, а не иконата за състояние. Запазете работещия профил там, където ще го намерите отново, и запишете резолвера и маршрута, които са го накарали да работи, защото следващата машина ще се нуждае от двете.