Windows VPN: gemt profil kontra den aktive interface-tilstand

En Windows VPN optræder to steder, som besvarer forskellige spørgsmål, og at forveksle dem giver en selvsikker forkert diagnose. Den gemte profil fortæller, hvad nogen har konfigureret; det aktive interface fortæller, hvad stakken lige har anvendt. Når en forbindelse etableres, og trafikken stadig tager den forkerte vej, skal begge visninger læses, i netop den rækkefølge. Ingen af dem alene fortæller dig, om applikationens pakke forlod tunnelen.

To visninger af den samme tunnel

Profilvisningen er konfiguration: serveradresse, tunneltype, godkendelsesmetode, indstillinger for delt tunnel. Den kan være korrekt, mens forbindelsen ignorerer den, og den kan være forældet, mens forbindelsen fungerer perfekt, fordi en klient, der genopretter forbindelsen, måske ikke læser det, du har redigeret, igen. Interfacevisningen er anvendt tilstand: hvilke adaptere der findes, hvilke adressefamilier de bærer, deres metrik og deres forbindelsestilstand. Den ændrer sig, når tunneler kommer og går, hvilket gør den til det rigtige sted for et spørgsmål om live-routing og det forkerte sted for et konfigurationsspørgsmål.

At læse dem sammen er hele metoden, og at læse en af dem alene er, hvordan folk ender med at slette en sund adapter. Kommandoerne nedenfor giver begge visninger uden at ændre noget.

Læs begge visninger uden at ændre noget

Start med de gemte profiler, fordi det er den billigste kendsgerning at bekræfte. Bemærk tunneltypen og værdien for delt tunnel, da begge afgør, hvilke destinationer der overhovedet skal ind i tunnelen. Hvis profilen er forkert, så ret den gennem dens understøttede konfigurationsflade, fordi intet på interfacelisten reparerer en profil, der peger på en forkert gateway.

Get-VpnConnection | Select-Object Name,ServerAddress,TunnelType,SplitTunneling,ConnectionStatus

Interfacevisningen har en anden form: en tunnel kan optage to rækker, når den bærer begge adressefamilier. Læs indekset som identiteten og aliaset som en etiket, nogen har valgt, og forvent, at aliaset ændrer sig mellem klientversioner.

Get-NetIPInterface | Select-Object InterfaceIndex,InterfaceAlias,AddressFamily,ConnectionState,InterfaceMetric

Tilstedeværelse er ikke bevis på brug, fordi et interface kan findes, være forbundet og stadig ikke være det, som ruten til din destination vælger. Husk det, før du behandler en ukendt adapter som fejlen. De to fejl ser identiske ud udefra: en korrekt profil med en rute, der aldrig bruger den, og en forkert profil med en rute, der gør. De har helt forskellige rettelser, og derfor findes næste afsnit.

Følg ruten til destinationen

Spørg stakken, hvilken vej den ville tage for den adresse, applikationen faktisk kontakter. Det er det spørgsmål, interfacelisten ikke kan besvare alene.

Find-NetRoute -RemoteIPAddress 10.60.20.10 | Select-Object -First 1
Get-NetIPAddress -InterfaceIndex 37 | Select-Object IPAddress,AddressFamily,PrefixLength

Den første kommando rapporterer to felter, der er værd at læse: interfacealiaset for den valgte kilde og det næste hop for den destination. Indekset 37 i den anden kommando er, hvad det første output udskrev, ikke en konstant at kopiere, og adressen 10.60.20.10 er illustrativ. Hvis den valgte kilde tilhører den fysiske adapter, mens destinationen burde være inde i tunnelen, har du fundet udvælgelsesproblemet, fordi VPN-interfacet kan være helt sundt og blot ikke foretrukket. En metrik er kun en del af den beslutning, da rutespecificitet, politik og interfacetilstand alle deltager.

Sammenlign tre tilstande under de samme betingelser

Registrér interfacelisten og den valgte rute før tilslutning, mens du er forbundet, og efter afbrydelse, med samme destination og samme kommandoer hver gang. Den sammenligning adskiller et aktuelt tunnelinterface fra en gammel skjult adapter efterladt af en afinstallation og fra en anden klient, der også kører. Den fortæller dig også, om tunnelinterfacet forsvinder rent, fordi en adapter, der består efter afbrydelse, er et andet problem end en, der aldrig dukkede op. Uden de tre snapshots ser hvert ukendt alias ud som synderen.

Gem de tre output sammen med sagen, fordi to kommandooutput slår et afsnit beskrivelse. En kollega kan sammenligne dem uden at gentage din session.

Slet ikke det, du ikke har identificeret

Ukendte adaptere tilhører normalt noget: en administreret klient, en virtuel switch, et containernetværk eller en sikkerhedsagent. At slette en kan fjerne en fungerende komponent og efterlade det oprindelige symptom præcis, hvor det var. Hvis ruten er forældet, find rutens ejer, og ret den der; hvis profilen er forkert, rediger profilen. Dokumentationen for Get-NetIPInterface viser de felter, der er brugt ovenfor, inklusive metrik- og tilstandskolonnerne, som gør sammenligningen meningsfuld.

Navngiv objektet, find dets ejer, og handl derefter på den ejer. Alt andet er at omdøbe problemet i stedet for at læse det.