VPN na Windowsu: uskladite klijenta s profilom

Windows prijavljuje tunel kao povezan, dok stranica intraneta još uvijek ističe, a profil je došao od nekoga ko je u međuvremenu otišao. Dvije odvojene greške stoje iza tog stanja: pogrešan klijent za datoteku i pogrešno očekivanje o tome šta tunel pokriva. Razlikovanje tih dviju stvari traži nekoliko komandi i štedi reinstalaciju. Nijedna se ne rješava restartom.

Ugrađeni klijent uvozi samo svoje tipove

Windows dolazi s VPN klijentom koji razumije određene tipove veze i neće uvesti OpenVPN datoteku ni WireGuard konfiguraciju, kako god se datoteka zvala. Za njih je potreban vlastiti softver, instaliran sa provjerene stranice za preuzimanje dobavljača. Poznat unos u mrežnom meniju nije dokaz da ga server podržava, a profil preimenovan s poznatim nastavkom i dalje je pogrešna datoteka. Tip veze mora odgovarati onome što je operater dao, a ne onome što meni slučajno nudi.

Za izvornu vezu dodajte je kroz mrežne postavke i upišite tačno vrijednosti koje ste dobili. IKEv2 zasnovan na certifikatu i ulazna tačka s korisničkim imenom i lozinkom različite su konfiguracije, čak i kada obje završe pod istim naslovom. Ako upravljani uređaj već nudi vezu, koristite tu umjesto da gradite drugu pored nje.

Koraci prijave nisu zamjenjivi

Veza može zahtijevati korisničko ime i lozinku, klijentski certifikat, interaktivni upit ili nekoliko njih uzastopno. Lozinka privatnog ključa otključava ključ i nije lozinka usluge, čak i kada se obje upisuju u isti dijalog. Upozorenje o certifikatu tiče se identiteta ili povjerenja, a ne toga je li ime računa pravilno napisano. Čitanje koje od ta tri nije uspjelo određuje sljedeći korak.

Pročitajte odbijanje umjesto da ga ponavljate. Greška autentifikacije i greška povjerenja izgledaju slično u statusnom prozoru i nemaju ništa zajedničko ispod: prvoj trebaju akreditivi, drugoj lanac koji klijent prihvata.

Držite akreditive i materijal certifikata izvan snimaka ekrana. Fotografija stranice s postavkama može odjednom otkriti adresu servera i sačuvano korisničko ime, a nit podrške je javni dokument češće nego što ljudi očekuju. Zamaskirajte prije objavljivanja, a ne nakon što je neko već citirao.

U PowerShellu Get-VpnConnection navodi šta Windows vjeruje da je konfigurisano, uključujući unose koje prozor postavki drži izvan vidokruga. Iz cmd upita rasdial se povezuje po nazivu veze, a ipconfig /all pokazuje šta je adapter stvarno primio. Dvije ljuske ne dijele isti parser, pa zalijepite svaku liniju u pravu.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Odlučuje tabela ruta, a ne ikona adaptera

Korporativni tunel može usmjeravati samo kancelarijske destinacije, ostavljajući obično pretraživanje na lokalnoj vezi, dok profil punog tunela radi suprotno. Otvorite stvarni resurs prije nego što zaključite da je bilo koje od ta dva ponašanja pogrešno. Ikona prijavljuje stanje adaptera, a odgovor živi u tabeli ruta. To dvije stvari se ne slažu češće nego što statusni prozor priznaje.

Konkretniji unosi mogu poslati podmrežu u tunel dok podrazumijevana ruta ostaje izvan njega, a upravo tako podijeljeni tunel treba da izgleda. Nedostajući unos je drugi čest ishod, i iz preglednika izgleda isto kao tunel koji ne radi. Uporedite prefiks do kojeg ne možete doći s tabelom, a ne s ikonom. Zato se ikona i tabela mogu razilaziti dok obje govore istinu o različitim stvarima.

Ne brišite rute zato što tabela sadrži adaptere koje ne prepoznajete. Virtuelna mašina, filterski drajver ili drugi klijent mogu svaki dodati po jedan, a brisanje kvari nešto što je radilo.

route print -4
nslookup intranet.corp.internal

Privatna imena traže rezolver organizacije

Privatna imena traže rezolver organizacije, a preglednik s vlastitim sigurnim DNS-om može potpuno zaobići sistemsku postavku. Tako nastaje zbunjujući slučaj u kojem upit iz komandne linije vraća adresu, a isto ime i dalje ne uspijeva u pregledniku.

Provjerite koji je adapter dao trenutnu DNS konfiguraciju prije nego što bilo šta mijenjate. Zadržite rezolver organizacije za privatna imena umjesto da ga zamijenite javnom uslugom. Zamjena javnim rezolverom obično popravi javno ime i pokvari svako interno, što je gori kvar od onog s kojim ste počeli. Ako veza prijavi uspjeh a ništa ne radi, prođite kroz prosljeđivanje i DNS prije nego što resetujete mrežni stek.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Microsoftova dokumentacija o tipovima VPN veza u Windowsu i dodacima referenca je za to koji klijent obrađuje koji tip, i nijedna oznaka u meniju vam to ne kaže. Ponovo se povežite nakon svake promjene i ponovo isprobajte stvarnu aplikaciju, a ne statusnu ikonu. Sačuvajte radni profil tamo gdje ćete ga ponovo naći i zapišite rezolver i rutu koji su ga osposobili, jer sljedećoj mašini trebaju oboje.