Warum Get-VpnConnection manche Windows-VPN-Profile übersieht

Get-VpnConnection eingeben, nichts zurückbekommen, und die Untersuchung endet meist dort. Diese leere Ausgabe wird als Beweis gelesen, dass die Maschine überhaupt kein VPN hat, selbst während ein Tunnel Datenverkehr führt. Der Befehl ist in Ordnung; die Annahme darüber, was er erfasst, nicht. Er liest einen nativen Speicher in einem Bereich und weiß nichts über Clients, die ihre eigenen Profile führen.

Ein nativer Speicher pro Aufruf

Beginnen Sie mit dem nackten Aufruf, der auf die Profile zielt, die zum angemeldeten Konto gehören. Das ist der Aufruf, den die meisten zuerst ausführen:

Get-VpnConnection

Jedes zurückgegebene Objekt trägt Name, ServerAddress, TunnelType und ConnectionStatus, und diese vier Felder reichen aus, um zwei Einträge in einem Ticket zu unterscheiden. Ein Profil kann monatelang getrennt sein und trotzdem gelistet bleiben, weil das Objekt gespeicherte Konfiguration beschreibt und nicht laufenden Verkehr. Ein leeres Ergebnis bedeutet hier, dass der Speicher pro Benutzer für dieses Konto nichts enthielt. Das ist eine viel kleinere Aussage als die, die man gewöhnlich hineinliest.

Das Telefonbuch für alle Benutzer braucht eine eigene Abfrage

Profile, die jedem Konto dienen, liegen in einer eigenen Liste, und der Standardaufruf liest sie nie. Diesen Speicher fordern Sie ausdrücklich an:

Get-VpnConnection -AllUserConnection

Fehlen der Sitzung die Rechte, erwarten Sie einen Zugriff-verweigert-Fehler statt eines leeren Ergebnisses, und behandeln Sie beide Ausgänge unterschiedlich: der eine bedeutet, Sie dürfen nicht nachsehen, der andere, es ist nichts gespeichert. Notieren Sie den Bereich neben jedem Namen, solange die Ausgabe vor Ihnen liegt, denn ein späterer Befehl erinnert Sie nicht daran, welchen Speicher er abgefragt hat. Berechtigungen sind der übliche Grund, warum ein Kollege ein Profil sieht, das Sie nicht sehen können. Die Parametersätze sind auf der Get-VpnConnection-Referenzseite dokumentiert, einschließlich welcher Schalter zu welchem Satz gehören.

Gleicher Name, zwei verschiedene Speicher

Ein Profilname ist innerhalb seines Speichers eindeutig, nicht maschinenweit, also können die Liste pro Benutzer und die für alle Benutzer jeweils ein Profil namens Office enthalten. Die beiden Einträge können auf verschiedene Server zeigen, verschiedene Tunneltypen nutzen und verschiedene Anmeldedaten tragen. Nur einer davon ist der Eintrag, den der Benutzer doppelklickt. Notieren Sie den Bereich, bevor Sie einen davon anfassen.

Die Kopie zu löschen, die niemand startet, wirkt in einem Änderungsfenster harmlos. Es wird zu einem Anruf beim Support, wenn die Verknüpfung des Benutzers nicht mehr funktioniert.

Clients, die die native Liste nie berühren

Ein OpenVPN- oder WireGuard-Profil, das in einen Herstellerclient importiert wurde, lebt in der eigenen Konfiguration dieses Clients, also wird es nie ein nativer Windows-Eintrag. Der Client betreibt seinen eigenen Dienst, führt seine eigene Liste und leitet Verkehr über seinen eigenen Adapter. Nichts davon ist das, was das Cmdlet meldet, und kein Bereichsschalter lässt es erscheinen. Eine Maschine kann drei funktionierende Tunnel und eine leere native Liste haben.

Wenn Sie stattdessen die Adapteransicht brauchen, fragen Sie die Adapter ab. Hersteller-Schnittstellen benennen sich selbst, also passen Sie ein Fragment an und keine exakte Zeichenfolge:

Get-NetAdapter | Where-Object InterfaceDescription -match 'WireGuard|OpenVPN|TAP'

Von Hand erstellte native Profile landen in der Telefonbuchdatei unter dem Benutzerprofil, und die Entsprechungen für alle Benutzer liegen in der maschinenweiten Kopie. Deshalb reproduziert das Kopieren des Profilspeichers eines Benutzers in ein anderes Konto selten dieselbe Liste. Die Datei erklärt, woher eine verirrte native Verbindung kam. Über den Speicher eines Herstellerclients sagt sie nichts.

Was vor dem Entfernen eines Profils festzuhalten ist

Die billige Versicherung ist eine Notiz mit fünf Feldern: Name, Bereich, Serveradresse, Status und der genaue Fehlertext aus dem Versuch des Benutzers. Fügen Sie den Client hinzu, den sie tatsächlich starten, denn dieses Detail entscheidet, ob der native Eintrag überhaupt zählt. Ohne sie sieht auch ein korrektes Löschen wie die Ursache des nächsten Fehlers aus. Bewahren Sie die Notiz im Ticket auf und nicht in einem Chatfenster.

Entfernen ist ein Befehl, und er löscht Konfiguration, statt sie zu deaktivieren. Führen Sie ihn erst aus, wenn diese Notiz existiert:

Remove-VpnConnection -Name "Office" -Force

Fügen Sie -AllUserConnection hinzu, wenn das Ziel im Speicher für alle Benutzer liegt, und sichern Sie die genehmigte Konfigurationsquelle vorher woanders. Verbinden Sie sich dann einmal neu und lesen Sie die Routentabelle, denn eine Auflistung beweist nur, dass Konfiguration gespeichert ist. Ob Verkehr den Server erreicht, ist eine separate Frage, die keine Menge an Get-VpnConnection-Ausgabe beantwortet. Scheitert der Benutzer auch nach einem sauberen erneuten Hinzufügen, war das Profil nie das Problem.