VPN ve Windows: spárujte klienta s profilem

Windows hlásí tunel jako připojený, zatímco stránka intranetu stále vyprší, a profil přišel od někoho, kdo už odešel. Za tímto stavem stojí dvě oddělené chyby: špatný klient pro soubor a špatné očekávání toho, co tunel pokrývá. Rozlišit je vyžaduje několik příkazů a ušetří přeinstalaci. Ani jedna se neopraví restartem.

Vestavěný klient importuje jen své vlastní typy

Windows dodává VPN klienta, který rozumí určitým typům připojení, a neimportuje soubor OpenVPN ani konfiguraci WireGuard, ať se soubor jmenuje jakkoli. Ty potřebují vlastní software nainstalovaný z ověřené stránky ke stažení od dodavatele. Známá položka v nabídce sítě není důkazem, že ji server podporuje, a profil přejmenovaný na známou příponu je pořád špatný soubor. Typ připojení musí odpovídat tomu, co dodal operátor, a ne tomu, co nabídka zrovna nabízí.

Pro nativní připojení ho přidejte v nastavení sítě a zadejte přesně hodnoty, které jste dostali. IKEv2 založené na certifikátu a vstupní bod s uživatelským jménem a heslem jsou různé konfigurace, i když obě skončí pod stejnou hlavičkou. Pokud spravované zařízení už připojení poskytuje, použijte ho, místo abyste vedle stavěli druhé.

Kroky přihlášení nejsou zaměnitelné

Připojení může vyžadovat uživatelské jméno a heslo, klientský certifikát, interaktivní výzvu nebo několik z toho za sebou. Heslo k privátnímu klíči odemyká klíč a není heslem služby, i když se obojí zadává do stejného dialogu. Varování o certifikátu se týká identity nebo důvěry, ne toho, zda je jméno účtu napsané správně. Přečtení, které ze tří selhalo, určuje další krok.

Přečtěte odmítnutí, místo abyste ho opakovali. Selhání ověření a selhání důvěry vypadají ve stavovém okně podobně a pod povrchem nemají nic společného: první potřebuje přihlašovací údaj, druhé řetězec, který klient přijme.

Držte přihlašovací údaje a certifikátní materiál mimo snímky obrazovky. Fotografie stránky nastavení může najednou odhalit adresu serveru i uložené uživatelské jméno a vlákno podpory je veřejný dokument častěji, než lidé čekají. Ztmavte citlivé údaje před zveřejněním, ne poté, co je někdo už ocitoval.

V PowerShellu Get-VpnConnection vypíše, co Windows považuje za nakonfigurované, včetně položek, které okno nastavení drží mimo dohled. Z příkazového řádku cmd se rasdial připojí podle názvu připojení a ipconfig /all ukáže, co adaptér skutečně dostal. Obě prostředí nesdílejí stejný parser, takže každý řádek vložte do správného.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Rozhoduje směrovací tabulka, ne ikona adaptéru

Podnikový tunel může směrovat jen kancelářské cíle a běžné prohlížení nechává na místním připojení, zatímco profil plného tunelu dělá opak. Otevřete skutečný prostředek, než rozhodnete, že některé z těch chování je špatné. Ikona hlásí stav adaptéru a odpověď žije ve směrovací tabulce. Tyto dvě věci se neshodují častěji, než stavové okno přiznává.

Konkrétnější položky mohou poslat podsíť do tunelu, zatímco výchozí trasa zůstává mimo něj, a přesně tak má rozdělený tunel vypadat. Chybějící položka je druhý častý výsledek a z prohlížeče vypadá stejně jako tunel, který nefunguje. Porovnejte prefix, na který se nedostanete, s tabulkou, ne s ikonou. Proto se ikona a tabulka mohou rozcházet, i když obě říkají pravdu o různých věcech.

Nemažte trasy jen proto, že tabulka obsahuje adaptéry, které nepoznáváte. Virtuální stroj, filtrovací ovladač nebo druhý klient mohou každý přidat jednu a smazáním rozbijete něco, co dřív fungovalo.

route print -4
nslookup intranet.corp.internal

Soukromá jména potřebují resolvér organizace

Soukromá jména potřebují resolvér organizace a prohlížeč s vlastním zabezpečeným DNS může systémové nastavení úplně obejít. Tím vzniká matoucí případ, kdy dotaz z příkazového řádku vrátí adresu a stejné jméno v prohlížeči stále selhává.

Než cokoli změníte, zkontrolujte, který adaptér dodal současnou konfiguraci DNS. Ponechte resolvér organizace pro soukromá jména, místo abyste ho nahradili veřejnou službou. Nahrazení veřejným resolvérem obvykle opraví veřejné jméno a rozbije každé interní, což je horší selhání než to původní. Pokud připojení hlásí úspěch a nic nefunguje, projděte přesměrování a DNS, než resetujete síťový zásobník.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Dokumentace Microsoftu k typům VPN připojení ve Windows a zásuvným modulům je referencí pro to, který klient zvládá který typ, a žádný štítek v nabídce vám to neřekne. Po každé změně se znovu připojte a zkuste skutečnou aplikaci, ne stavovou ikonu. Uložte fungující profil tam, kde ho znovu najdete, a poznamenejte si resolvér a trasu, které ho zprovoznily, protože další stroj bude potřebovat oboje.