VPN på Windows: tilpas klienten til profilen

Windows rapporterer, at tunnelen er forbundet, mens intranet-siden stadig løber ud i tid, og profilen kom fra en person, som siden er stoppet. Der ligger to adskilte fejl bag den tilstand: den forkerte klient til filen og den forkerte forventning om, hvad tunnelen dækker. At skelne dem ad kræver et par kommandoer og sparer en geninstallation. Ingen af dem løses ved at genstarte.

Den indbyggede klient importerer kun sine egne typer

Windows leveres med en VPN-klient, der forstår bestemte forbindelsestyper, og den importerer ikke en OpenVPN-fil eller en WireGuard-konfiguration, uanset hvad filen hedder. De kræver deres eget software, installeret fra leverandørens verificerede downloadside. En velkendt post i netværksmenuen er ikke bevis for, at serveren understøtter den, og en profil, der er omdøbt med en velkendt filendelse, er stadig den forkerte fil. Forbindelsestypen skal matche det, operatøren har leveret, og ikke det, menuen tilfældigvis tilbyder.

For en indbygget forbindelse tilføjer du den via netværksindstillingerne og indtaster præcis de værdier, du fik. Certifikatbaseret IKEv2 og et indgangspunkt med brugernavn og adgangskode er forskellige konfigurationer, selv når begge ender under samme overskrift. Hvis en administreret enhed allerede leverer en forbindelse, så brug den i stedet for at bygge en anden ved siden af.

Login-trin kan ikke udskiftes

En forbindelse kan kræve et brugernavn og en adgangskode, et klientcertifikat, en interaktiv prompt eller flere af dem i rækkefølge. En adgangssætning til en privat nøgle låser en nøgle op og er ikke tjenestens adgangskode, selv når begge tastes ind i samme dialog. En certifikatadvarsel handler om identitet eller tillid, ikke om hvorvidt kontonavnet er stavet rigtigt. At læse, hvilken af de tre der fejlede, afgør næste skridt.

Læs afvisningen i stedet for at gentage den. En godkendelsesfejl og en tillidsfejl ser ens ud i et statusvindue og har intet til fælles under overfladen: den første kræver en legitimation, den anden en kæde, som klienten accepterer.

Hold legitimationsoplysninger og certifikatmateriale ude af skærmbilleder. Et foto af en indstillingsside kan afsløre en serveradresse og et gemt brugernavn på én gang, og en supporttråd er et offentligt dokument oftere, end folk forventer. Slør oplysningerne før du poster, ikke efter nogen allerede har citeret dem.

I PowerShell lister Get-VpnConnection, hvad Windows mener er konfigureret, inklusive poster, som indstillingsvinduet holder ude af syne. Fra en cmd-prompt forbinder rasdial ved forbindelsesnavn, og ipconfig /all viser, hvad adapteren faktisk modtog. De to skaller deler ikke en parser, så indsæt hver linje i den rigtige.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Rutningstabellen afgør, ikke adapterikonet

En virksomhedstunnel kan kun route kontordestinationer og lade almindelig browsing blive på den lokale forbindelse, mens en full-tunnel-profil gør det modsatte. Åbn den faktiske ressource, før du beslutter, at en af de adfærd er forkert. Ikonet rapporterer adaptertilstand, og svaret ligger i rutningstabellen. De to er uenige oftere, end et statusvindue indrømmer.

Mere specifikke poster kan sende et subnet ind i tunnelen, mens standardruten bliver udenfor, og det er præcis, som en split tunnel skal se ud. En manglende post er det anden almindelige resultat, og fra browseren ser den identisk ud med en tunnel, der er nede. Sammenlign det præfiks, du ikke kan nå, med tabellen i stedet for med ikonet. Det er derfor, ikonet og tabellen kan være uenige, mens begge taler sandt om forskellige ting.

Slet ikke ruter, fordi tabellen indeholder adaptere, du ikke genkender. En virtuel maskine, en filterdriver eller en anden klient kan hver især tilføje en, og at fjerne den ødelægger noget, der plejede at virke.

route print -4
nslookup intranet.corp.internal

Private navne kræver organisationens resolver

Private navne kræver organisationens resolver, og en browser med sin egen sikre DNS kan helt omgå systemindstillingen. Det giver det forvirrende tilfælde, hvor et opslag fra kommandolinjen returnerer en adresse, og det samme navn stadig fejler i browseren.

Kontroller, hvilken adapter der leverede den aktuelle DNS-konfiguration, før du ændrer noget. Behold organisationens resolver til private navne i stedet for at erstatte den med en offentlig tjeneste. At indsætte en offentlig resolver reparerer normalt et offentligt navn og ødelægger alle interne, hvilket er en værre fejl end den, du startede med. Hvis forbindelsen rapporterer succes, og intet virker, så gå gennem videresendelse og DNS, før du nulstiller netværksstakken.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Microsofts dokumentation om Windows VPN-forbindelsestyper og plug-ins er referencen for, hvilken klient der håndterer hvilken type, og ingen menuetikette fortæller dig det. Genopret forbindelsen efter enhver ændring, og prøv den rigtige applikation i stedet for statusikonet. Gem den fungerende profil, hvor du kan finde den igen, og noter resolveren og ruten, der fik den til at virke, for den næste maskine får brug for begge.