Welchen Windows-VPN-Typ hat Ihr Profil tatsächlich installiert?

Windows kennt zwei verschiedene Dinge, die beide unter der Überschrift VPN erscheinen: integrierte Protokollprofile, die das Betriebssystem selbst umsetzt, und eine Plattform für Anbieter-Plug-ins, die ihre eigene Implementierung mitbringen. Ein Plug-in ist kein anderer Name für die Wahl von IKEv2 oder SSTP in einem nativen Profil, und ein natives Profil kann die Einstellungen eines Anbieters nicht übernehmen, indem der Tunneltyp umbenannt wird. Die meiste Verwirrung entsteht hier durch einen Support-Artikel, der für das eine geschrieben und auf das andere angewendet wird. Zu wissen, welches man hat, ist der erste Schritt, und er dauert etwa eine Minute.

Zwei verschiedene Dinge namens VPN-Verbindung

Die integrierten Typen setzt Windows selbst um: IKEv2, SSTP, L2TP/IPsec, PPTP und die automatische Option, die zwischen ihnen wählt. Ein Anbieter-Plug-in ist ein separates Paket, das meist der eigene Installer des Anbieters einspielt, eine Implementierung bei der Plattform registriert und als eigener Verbindungstyp erscheint.

Das Wort App entscheidet nicht, welches davon installiert ist. Ein Anbieter kann ein Plug-in, einen eigenständigen Desktop-Client oder beides ausliefern, und sie verhalten sich unterschiedlich.

Gehen Sie den Weg über die Einstellungen und sehen Sie, was die Verbindung anbietet. Einstellungen, Netzwerk und Internet, VPN, dann öffnen Sie die Eigenschaften der Verbindung: ein natives Profil zeigt eine Auswahlliste für den VPN-Typ mit den integrierten Namen, und seine erweiterten Optionen legen die Authentifizierungsmethoden offen, die Windows unterstützt. Ist die einzige Konfigurationsfläche der eigene Dialog des Anbieters, oder fehlt der Typ in dieser Auswahlliste, sehen Sie ein Plug-in oder einen eigenständigen Client. Notieren Sie, welches der drei es ist, bevor Sie etwas ändern.

Gehen Sie die Einstellungen durch und sehen Sie, welches Sie haben

Die PowerShell-Ansicht ist schneller, wenn Sie mehrere Rechner verwalten. Get-VpnConnection listet die Verbindungen, die Windows selbst verwaltet, und jedes Ergebnis enthält einen TunnelType. Eine anbieterverwaltete Verbindung erscheint dort möglicherweise gar nicht, und das ist bereits die Antwort.

Native Profile werden mit ihren eigenen unterstützten Parametern erstellt: Add-VpnConnection -Name Corp -ServerAddress vpn.example.com -TunnelType IKEv2 -AuthenticationMethod EAP und, wo die Methode es verlangt, eine als XML übergebene EAP-Konfiguration. Das ist die Fläche, die Windows dokumentiert, und sie akzeptiert weder ein beliebiges Anbieter-XML noch eine OpenVPN-Konfigurationsdatei als gleichwertiges Profil. Der Versuch dieser Übersetzung ist der Weg, auf dem Leute zu dem Schluss kommen, die Plattform sei defekt, obwohl das Profil nie ein natives war.

Was der Anbieter besitzt

Ein Plug-in besitzt die Implementierungsdetails, und deshalb ist die Unterscheidung über die Benennung hinaus wichtig. Seine Anwendung, sein Authentifizierungsablauf und sein Konfigurationsschema gehören dem Anbieter, und die Dokumentation des Anbieters ist dafür die einzig richtige Quelle.

Dieser Besitz hat praktische Folgen. Der Update-Kanal ist der des Anbieters und nicht Windows Update, eine Version, die ein Kompatibilitätsproblem behebt, kommt also über einen anderen Mechanismus. Auch der Entfernungspfad gehört dem Anbieter, und das Löschen des Verbindungseintrags in den Einstellungen kann die Anbieteranwendung und ihr verwaltetes Deployment an Ort und Stelle lassen. Und das Profilschema gehört dem Anbieter, eine Einstellung aus dem Profil eines Anbieters hat also keine Bedeutung im Profil eines anderen, selbst wenn die Bezeichnung übereinstimmt.

Folgen Sie der tatsächlichen Konfigurationsquelle

Nutzen Sie bei einem verwalteten Deployment die Dokumentation des Anbieters und die der Organisation zusammen, statt die eine durch die andere zu ersetzen. Prüfen Sie die unterstützten Versionen, das Profilschema und ob das Deployment auf den Benutzer oder auf das Gerät zielt.

Diese letzte Unterscheidung ist wichtiger, als sie aussieht. Ein Deployment pro Benutzer und eines pro Gerät haben unterschiedliche Voraussetzungen und unterschiedliche Fehlerbilder, und ein Paket, das in einem Kontext korrekt installiert, kann im anderen unsichtbar sein. Fehlt der erwartete Anbieter, schafft die Installation eines unabhängigen Clients mit ähnlichem Namen keine Kompatibilität, was der Name auch nahelegen mag.

Testen Sie nach der Konfiguration die Authentifizierung und dann, was das Profil tatsächlich angewendet hat. Ein Profil, das in einer Einstellungsliste erscheint, ist kein Test des Anwendungszugriffs. Bestätigen Sie die Route, die der Datenverkehr nimmt, und die verwendeten DNS-Server, denn ein Plug-in kann eigene Routen und Resolver einrichten, und genau diese Teile fallen Nutzern auf, wenn sie falsch sind. Öffnen Sie dann die Anwendung, die der Nutzer wirklich braucht, denn ein verbundener Zustand und eine funktionierende Sitzung sind zwei verschiedene Aussagen.

Testen Sie, was das Profil tatsächlich angewendet hat

Nennen Sie bei einer Eskalation Name und Version des Anbieters statt nur den Windows-Build und die Serveradresse. Ein Ticket, das sagt, das VPN verbinde unter Windows 11 nicht, sagt der nächsten Person nichts darüber, welche der drei Konstellationen vorliegt.

Halten Sie Updates und Entfernung an der besitzenden Komponente, und notieren Sie neben dem Verbindungsnamen, welche Komponente das ist. Die Microsoft-Dokumentation zu VPN-Verbindungstypen und Plug-ins ist die Referenz für die integrierte Liste und das Plug-in-Modell. Nennen die Anweisungen der Organisation einen Anbieter, gilt für das Profil dessen Dokumentation. Alles andere ist eine Vermutung darüber, welche Windows-Funktion Sie vor sich haben.