La VPN integrada de Windows no arriba a una passarel·la SSL de proveïdor: per què

Windows inclou quatre tipus de túnel, i una passarel·la SSL de proveïdor no és cap d’ells. Apunta-hi un perfil integrat i la connexió falla abans de la petició de credencials, normalment amb un missatge que diu que el sistema local ha finalitzat la connexió. Aquest text és un senyal de desajust, no un diagnòstic. El tipus de perfil i el client que posseeix el protocol han de coincidir, i un dels dos falta.

Quatre tipus i un diàleg

Cada perfil desat porta un tipus de túnel. El client integrat accepta PPTP, L2TP, IKEv2 i SSTP, més un mode automàtic que els prova en ordre. No hi ha cap entrada genèrica d’SSL VPN, i no hi ha manera d’afegir-ne una des del diàleg. Una passarel·la de proveïdor parla el seu propi protocol d’aplicació sobre TLS, que només implementa el client d’aquell proveïdor.

La llista és a una ordre de distància, i val la pena executar-la abans de qualsevol altra diagnosi perquè triga un segon i elimina tota una classe de suposicions errònies:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Si el perfil diu SSTP i la passarel·la no és un servidor RRAS, el desajust ja està establert. Cap treball de certificats o tallafoc no ho canvia.

SSTP i el TLS de proveïdor s’assemblen al port 443

SSTP embolcalla una sessió PPP dins de TLS i viatja per TCP 443. A la pila de Microsoft la tanca RRAS, que presenta un certificat de servidor que el client valida. Un aparell Fortinet, Citrix o Pulse també tanca TLS al 443, i el seu portal s’obre a qualsevol navegador sense queixa.

Aquesta prova de navegador demostra abastabilitat, no compatibilitat. El protocol de sessió darrere del portal és del proveïdor, i el client integrat no en té cap implementació. Si el proveïdor distribueix un client propi t’indica amb quina meitat del desajust tractes.

La confusió inversa també passa. Un perfil configurat com a SSTP contra un servidor RRAS autèntic pot fallar en la validació del certificat mentre el portal va bé, i això és un problema de certificat, no de protocol.

Errors que apareixen abans que existeixi un túnel

Els codis de la sèrie 800 es reporten abans que s’estableixi cap túnel, i per això les regles de tallafoc poques vegades els mouen. L’error 812 és una política del servidor que rebutja el mètode d’autenticació que ha ofert el client. Els altres del rang vénen del gestor de connexions local i no de la xarxa.

Activa el traçat abans de reconstruir res. El traçat anomena l’etapa que falla, i un nom d’etapa val més que el text del diàleg:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Els traçats aterren al directori de traçat i hi queden fins que els esborres, així que desactiva el traçat després en lloc de deixar-lo funcionant durant setmanes.

Un perfil connectat encara pot espatllar-ho tot

Un perfil que es connecta i després espatlla la navegació, un recurs compartit local o un motor de contenidors té un problema d’encaminament, no de túnel. La passarel·la per defecte s’ha traslladat al túnel, així que cada destinació passa ara per un igual que potser no l’encamina.

Dos controls ho decideixen. Un és la propietat d’split tunneling del perfil. L’altre és l’opció per adaptador d’usar la passarel·la per defecte a la xarxa remota, que és a la configuració avançada d’IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Activar l’split tunneling sense afegir rutes produeix un túnel que es connecta i no arriba enlloc. Desactivar-lo sense comprovar el DNS produeix noms interns que es resolen a respostes públiques, perquè no s’usen el sufix ni els servidors propis de l’adaptador.

Verifica la instal·lació, després el tipus

Treballa en aquest ordre, i atura’t quan falli un pas en lloc d’ajustar-ho tot alhora:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

La primera ordre separa l’abastabilitat del protocol. La segona confirma què diu ser el perfil. La taula de rutes mostra si el túnel ha capturat la ruta per defecte. L’ordre de marcatge informa l’error propi del gestor de connexions, que sovint és més clar que el diàleg.

Anota el tipus de túnel, el producte de la passarel·la i l’error exacte al tiquet. La persona següent sap llavors en un minut si és un desajust de protocol, una fallada de certificat o una decisió d’encaminament, en lloc de començar per “la VPN no funciona”.