VPN unter Windows: den Client zum Profil passend wählen

Windows meldet den Tunnel als verbunden, während die Intranet-Seite weiterhin in eine Zeitüberschreitung läuft, und das Profil stammt von jemandem, der inzwischen ausgeschieden ist. Hinter diesem Zustand stehen zwei getrennte Fehler: der falsche Client für die Datei und die falsche Erwartung daran, was der Tunnel abdeckt. Beides auseinanderzuhalten kostet ein paar Befehle und spart eine Neuinstallation. Keiner der beiden wird durch einen Neustart behoben.

Der eingebaute Client importiert nur seine eigenen Typen

Windows bringt einen VPN-Client mit, der bestimmte Verbindungstypen versteht, und er importiert weder eine OpenVPN-Datei noch eine WireGuard-Konfiguration, egal wie die Datei heißt. Diese brauchen ihre eigene Software, installiert von der verifizierten Downloadseite des Anbieters. Ein vertrauter Eintrag im Netzwerkmenü ist kein Beweis dafür, dass der Server ihn unterstützt, und ein mit einer vertrauten Endung umbenanntes Profil ist immer noch die falsche Datei. Der Verbindungstyp muss zu dem passen, was der Betreiber geliefert hat, und nicht zu dem, was das Menü zufällig anbietet.

Für eine native Verbindung fügen Sie sie über die Netzwerkeinstellungen hinzu und tippen genau die Werte ein, die Sie erhalten haben. Zertifikatbasiertes IKEv2 und ein Zugangspunkt mit Benutzername und Kennwort sind unterschiedliche Konfigurationen, auch wenn beide unter derselben Überschrift landen. Wenn ein verwaltetes Gerät bereits eine Verbindung bereitstellt, verwenden Sie diese, statt daneben eine zweite aufzubauen.

Anmeldeschritte sind nicht austauschbar

Eine Verbindung kann einen Benutzernamen und ein Kennwort, ein Client-Zertifikat, eine interaktive Abfrage oder mehrere davon nacheinander verlangen. Eine Passphrase für einen privaten Schlüssel entsperrt einen Schlüssel und ist nicht das Dienstkennwort, selbst wenn beides in denselben Dialog getippt wird. Eine Zertifikatswarnung betrifft Identität oder Vertrauen, nicht die Frage, ob der Kontoname richtig geschrieben ist. Zu lesen, welcher der drei Fälle fehlgeschlagen ist, entscheidet über den nächsten Schritt.

Lesen Sie die Ablehnung, statt sie zu wiederholen. Ein Authentifizierungsfehler und ein Vertrauensfehler sehen im Statusfenster ähnlich aus und haben darunter nichts gemeinsam: der erste braucht ein Anmeldeinformationsobjekt, der zweite eine Kette, die der Client akzeptiert.

Halten Sie Anmeldeinformationen und Zertifikatsmaterial aus Screenshots heraus. Ein Foto einer Einstellungsseite kann eine Serveradresse und einen gespeicherten Benutzernamen auf einmal offenlegen, und ein Support-Thread ist ein öffentliches Dokument, öfter als Menschen erwarten. Schwärzen Sie vor dem Posten, nicht nachdem jemand es bereits zitiert hat.

In PowerShell listet Get-VpnConnection, was Windows für konfiguriert hält, einschließlich Einträgen, die das Einstellungsfenster aus dem Blick hält. Von einer cmd-Eingabeaufforderung verbindet rasdial über den Verbindungsnamen, und ipconfig /all zeigt, was der Adapter tatsächlich erhalten hat. Die beiden Shells teilen keinen Parser, also fügen Sie jede Zeile in die richtige ein.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Die Routentabelle entscheidet, nicht das Adaptersymbol

Ein Firmentunnel kann nur Büroziele routen und gewöhnliches Surfen auf der lokalen Verbindung lassen, während ein Full-Tunnel-Profil das Gegenteil tut. Öffnen Sie die tatsächliche Ressource, bevor Sie entscheiden, dass eines der beiden Verhalten falsch ist. Das Symbol meldet den Adapterzustand, und die Antwort steht in der Routentabelle. Diese beiden widersprechen sich häufiger, als ein Statusfenster zugibt.

Spezifischere Einträge können ein Subnetz in den Tunnel schicken, während die Standardroute draußen bleibt, und genau so soll ein Split-Tunnel aussehen. Ein fehlender Eintrag ist das andere häufige Ergebnis, und im Browser sieht er genauso aus wie ein Tunnel, der ausgefallen ist. Vergleichen Sie das Präfix, das Sie nicht erreichen, mit der Tabelle statt mit dem Symbol. Deshalb können Symbol und Tabelle uneins sein, während beide die Wahrheit über verschiedene Dinge sagen.

Löschen Sie keine Routen, nur weil die Tabelle Adapter enthält, die Sie nicht erkennen. Eine virtuelle Maschine, ein Filtertreiber oder ein zweiter Client kann jeweils eine hinzufügen, und das Entfernen bricht etwas, das vorher funktioniert hat.

route print -4
nslookup intranet.corp.internal

Private Namen brauchen den Resolver der Organisation

Private Namen brauchen den Resolver der Organisation, und ein Browser mit eigenem sicheren DNS kann die Systemeinstellung vollständig umgehen. Das erzeugt den verwirrenden Fall, in dem eine Abfrage auf der Kommandozeile eine Adresse zurückgibt und derselbe Name im Browser weiterhin scheitert.

Prüfen Sie, welcher Adapter die aktuelle DNS-Konfiguration geliefert hat, bevor Sie etwas ändern. Behalten Sie den Resolver der Organisation für private Namen, statt ihn durch einen öffentlichen Dienst zu ersetzen. Ein öffentlicher Resolver repariert meist einen öffentlichen Namen und bricht jeden internen, was ein schlimmerer Fehler ist als der, mit dem Sie begonnen haben. Wenn die Verbindung Erfolg meldet und nichts funktioniert, arbeiten Sie Weiterleitung und DNS durch, bevor Sie den Netzwerk-Stack zurücksetzen.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Microsofts Dokumentation zu Windows VPN-Verbindungstypen und Plug-Ins ist die Referenz dafür, welcher Client welchen Typ behandelt, und kein Menüetikett sagt Ihnen das. Verbinden Sie sich nach jeder Änderung neu und testen Sie die echte Anwendung statt des Statussymbols. Speichern Sie das funktionierende Profil, wo Sie es wiederfinden, und notieren Sie den Resolver und die Route, die es zum Laufen gebracht haben, denn der nächste Rechner braucht beides.