VPN a Windows: encaixeu el client amb el perfil

Windows informa que el túnel està connectat mentre la pàgina de la intranet encara es queda sense temps, i el perfil venia d’algú que ja ha marxat. Darrere d’aquest estat hi ha dos errors separats: el client equivocat per al fitxer i l’expectativa equivocada sobre què cobreix el túnel. Distingir-los requereix unes quantes ordres i estalvia una reinstal·lació. Cap dels dos es resol reiniciant.

El client integrat només importa els seus propis tipus

Windows inclou un client VPN que entén tipus de connexió concrets, i no importarà un fitxer OpenVPN ni una configuració de WireGuard, sigui com sigui que es digui el fitxer. Aquests necessiten el seu propi programari, instal·lat des de la pàgina de descàrrega verificada del proveïdor. Una entrada familiar al menú de xarxa no és prova que el servidor l’admeti, i un perfil reanomenat amb una extensió familiar continua sent el fitxer equivocat. El tipus de connexió ha de coincidir amb el que va proporcionar l’operador, no amb el que el menú ofereix per casualitat.

Per a una connexió nativa, afegiu-la des de la configuració de xarxa i escriviu exactament els valors que us han donat. Un IKEv2 basat en certificat i un punt d’entrada amb nom d’usuari i contrasenya són configuracions diferents encara que totes dues acabin sota el mateix encapçalament. Si un dispositiu gestionat ja proporciona una connexió, feu servir aquesta en lloc de construir-ne una segona al costat.

Els passos d’inici de sessió no són intercanviables

Una connexió pot requerir un nom d’usuari i una contrasenya, un certificat de client, un avís interactiu o diversos d’aquests elements en seqüència. La contrasenya d’una clau privada desbloqueja una clau i no és la contrasenya del servei, encara que totes dues s’escriguin al mateix diàleg. Un avís de certificat tracta d’identitat o de confiança, no de si el nom del compte s’ha escrit correctament. Llegir quin dels tres ha fallat decideix el pas següent.

Llegiu el rebuig en lloc de reintentar-lo. Un error d’autenticació i un error de confiança semblen iguals en una finestra d’estat i no tenen res en comú a sota: el primer necessita una credencial, el segon una cadena que el client accepti.

Manteniu les credencials i el material de certificats fora de les captures de pantalla. Una foto d’una pàgina de configuració pot exposar alhora una adreça de servidor i un nom d’usuari desat, i un fil d’assistència és un document públic més sovint del que la gent espera. Redacteu abans de publicar, no després que algú ja ho hagi citat.

A PowerShell, Get-VpnConnection llista què creu Windows que està configurat, incloses entrades que la finestra de configuració manté fora de la vista. Des d’un indicador de cmd, rasdial es connecta pel nom de la connexió i ipconfig /all mostra què ha rebut realment l’adaptador. Les dues consoles no comparteixen analitzador, així que enganxeu cada línia a la correcta.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Decideix la taula d’encaminament, no la icona de l’adaptador

Un túnel corporatiu pot encaminar només destinacions d’oficina, deixant la navegació corrent a la connexió local, mentre que un perfil de túnel complet fa el contrari. Obriu el recurs real abans de decidir que algun dels dos comportaments és incorrecte. La icona informa de l’estat de l’adaptador, i la resposta viu a la taula d’encaminament. Aquestes dues coses no coincideixen més sovint del que admet una finestra d’estat.

Les entrades més específiques poden enviar una subxarxa dins del túnel mentre la ruta per defecte queda fora, que és exactament com ha de semblar un túnel dividit. Una entrada que falta és l’altre resultat habitual, i des del navegador sembla idèntica a un túnel que no funciona. Compareu el prefix al qual no arribeu amb la taula, no amb la icona. Per això la icona i la taula poden discrepar mentre totes dues diuen la veritat sobre coses diferents.

No suprimiu rutes perquè la taula contingui adaptadors que no reconeixeu. Una màquina virtual, un controlador de filtre o un segon client poden afegir-ne un cadascun, i eliminar-lo trenca una cosa que abans funcionava.

route print -4
nslookup intranet.corp.internal

Els noms privats necessiten el resolutor de l’organització

Els noms privats necessiten el resolutor de l’organització, i un navegador amb el seu propi DNS segur pot saltar-se completament la configuració del sistema. Això produeix el cas confús en què una consulta de línia d’ordres retorna una adreça i el mateix nom encara falla al navegador.

Comproveu quin adaptador ha proporcionat la configuració DNS actual abans de canviar res. Manteniu el resolutor de l’organització per als noms privats en lloc de substituir-lo per un servei públic. Substituir-lo per un resolutor públic normalment arregla un nom públic i trenca tots els interns, cosa que és un error pitjor que el que teníeu. Si la connexió informa d’èxit i res no funciona, reviseu el reenviament i el DNS abans de reiniciar la pila de xarxa.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

La documentació de Microsoft sobre els tipus de connexió VPN de Windows i els complements és la referència de quin client gestiona quin tipus, i cap etiqueta del menú us ho diu. Torneu-vos a connectar després de qualsevol canvi i torneu a provar l’aplicació real en lloc de la icona d’estat. Deseu el perfil que funciona on el pugueu trobar de nou, i anoteu el resolutor i la ruta que el van fer funcionar, perquè la màquina següent necessitarà tots dos.