Нулирането на мрежата в Windows изтрива повече от повредата на VPN

Съветът идва до десет минути след всяка жалба за VPN в Windows: пусни нулирането на мрежата, то оправя всичко. Не оправя, и не е тясно. Този бутон изчиства адаптери, свързва наново протоколи, премахва статични адреси и маршрути по подразбиране, изхвърля записи на защитна стена и филтри и освен това забравя профили Wi-Fi. На машина с работещ, но грешно конфигуриран тунел то превръща една диагностицируема повреда в недокументирано преустройство. Запазете първо пет неща и ще запазите възможността да го отмените.

Нулирането не е ограничено до профила на VPN

VPN връзката е един обект сред много, които делят мрежовия стек. Премахването и повторното добавяне на адаптер променя индекса на интерфейса, и всичко, което сочеше към този индекс, от маршрут до правило на защитна стена до драйвер на филтър на трета страна, сега сочи към нещо, което вече не съществува.

Виртуализацията влошава нещата. Комутатори Hyper-V, мостове VMware, контейнерни мрежи и VPN клиенти със собствени виртуални адаптери живеят в едно и също пространство. Нулиране, което преинсталира базовия стек, може да остави тези компоненти наполовина налични, и получената машина съобщава за работещ хардуер без работещ път.

Нищо от това не е аргумент срещу това някога да се нулира. Това е аргумент срещу нулиране първо, на машина, която не сте документирали, когато действителната повреда може да е един запис за маршрут или един остарял филтър. Нулирането е широк инструмент с тесен успех, и използването му като първи ход гарантира, че никога няма да разберете кое от двете е било.

Запазете доказателствата, преди да запазите настройките

Самата повреда е данни. Запишете точния код на грешката, часа, кой профил е бил избран и дали шлюзът изобщо е регистрирал опит. Код, който казва, че тунелът никога не е получил отговор, и код, който казва, че удостоверяването е неуспешно, сочат към напълно различни поправки. След нулиране може да не успеете да възпроизведете нито едното. Отнасяйте се към счупеното състояние като към актив, който ей сега ще похарчите.

Запишете състоянието, докато още е счупено, в папка извън временните директории на машината:

mkdir C:\vpn-evidence
ipconfig /all > C:\vpn-evidence\ipconfig.txt
route print > C:\vpn-evidence\routes.txt
Get-VpnConnection -AllUserConnection | Export-Csv C:\vpn-evidence\profiles.csv -NoTypeInformation
netsh wfp show state file=C:\vpn-evidence\wfp.xml

Последната команда е тази, която хората пропускат, и често именно тя обяснява повредата. Останалите филтри на премахнат клиент оцеляват като постоянна политика, и експортираният XML е единственият местен запис за тях. Прочетете го, преди нулиране да изтрие това, което се опитвахте да идентифицирате.

Запазете конфигурацията, която няма да се върне

Някои настройки се пресъздават автоматично. Статичните адреси, персонализираните маршрути, DNS наставките, изключенията за прокси и правилата на защитната стена не. Нито самите профили, които живеят във файл на телефонен указател, който нулирането не възстановява вместо вас.

Get-NetIPConfiguration | Out-File C:\vpn-evidence\netip.txt
Get-NetRoute -AddressFamily IPv4 | Export-Csv C:\vpn-evidence\netroutes.csv -NoTypeInformation
Get-DnsClientServerAddress | Export-Csv C:\vpn-evidence\dns.csv -NoTypeInformation
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject,Thumbprint,NotAfter

Списъкът със сертификати е по-важен, отколкото изглежда. Клиентските сертификати не се унищожават от нулиране на мрежата, но списъкът ви казва от кои е зависел профилът и дали някой изтича скоро. Откриването на изтекъл сертификат след преустройство пропилява преустройството.

Запишете пътя за възстановяване, преди да започнете

Ако машината е отдалечена и VPN е единственият ви вход, нулирането може да прекрати сесията ви и може да няма път назад без човек на място. Потвърдете, че има достъп извън обхвата или че има човек на разположение, преди да стартирате каквото и да е, което докосва адаптери.

Съхранявайте инсталаторите и данните за връзка някъде, където машината все още може да ги достигне след това. Клиент, който трябва да се преинсталира от портал на доставчик, достъпен през тунела, е кръгова зависимост и това е най-честият начин тази процедура да се превърне в прекъсване.

След това запишете какво правите и защо, включително точните команди. Следващият човек трябва да знае дали нулирането е било експеримент или решение, а „изпробвахме всичко“ не е запис.

Тествайте на слоеве след нулирането

Възстановяването на твърде много наведнъж прави резултата нечетим. Работете отдолу: адаптер и адрес, после разрешаване на имена, после етапът на идентичност на тунела, после приложението. Всеки слой има команда, която отговаря на собствения му въпрос:

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceDescription
Resolve-DnsName intranet.example.internal
Get-VpnConnection -Name 'Corp' | Select-Object ConnectionStatus,TunnelType
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Ако слоят на адаптера е здрав, а разрешаването не е, спрете и поправете разрешаването. Преинсталирането на VPN клиента в този момент добавя променлива и премахва следа. Възстановявайте само настройките, които можете да обясните, една по една, проверявайки същия слой след всяка.

Собственото ръководство на Microsoft за отстраняване на грешка 720 например разграничава проблемите със свързването от проблемите с разпределянето на адреси, вместо да предписва общо нулиране, и това е правилният инстинкт за всеки код в това семейство. Прочетете какво твърди кодът, преди да посегнете към най-широкия наличен инструмент.