Ein Windows-Netzwerkreset löscht mehr als nur den VPN-Fehler
Ein Reset räumt Adapter, Routen und WFP-Filter ab, nicht nur den fehlerhaften Tunnel. Sichern Sie zuerst Profil, Zertifikatsliste und Beweise, und testen Sie dann schichtweise.
Der Ratschlag kommt innerhalb von zehn Minuten nach jeder Windows-VPN-Beschwerde: Netzwerkreset ausführen, das behebt alles. Tut es nicht, und er ist nicht eng. Diese Schaltfläche räumt Adapter ab, bindet Protokolle neu, entfernt statische Adressen und Standardrouten, verwirft Firewall- und Filtereinträge und vergisst obendrein WLAN-Profile. Auf einem Rechner mit einem funktionierenden, aber falsch konfigurierten Tunnel verwandelt er einen diagnostizierbaren Fehler in einen undokumentierten Neuaufbau. Sichern Sie zuerst fünf Dinge, dann behalten Sie die Möglichkeit, das rückgängig zu machen.
Der Reset ist nicht auf das VPN-Profil begrenzt
Eine VPN-Verbindung ist ein Objekt unter vielen, die sich den Netzwerk-Stack teilen. Das Entfernen und erneute Hinzufügen eines Adapters ändert den Schnittstellenindex, und alles, was auf diesen Index verwies, von einer Route über eine Firewallregel bis zu einem Fremdfiltertreiber, verweist jetzt auf etwas, das es nicht mehr gibt.
Virtualisierung verschlimmert das. Hyper-V-Switches, VMware-Bridges, Containernetzwerke und VPN-Clients mit eigenen virtuellen Adaptern leben alle im selben Raum. Ein Reset, der den Basis-Stack neu installiert, kann diese Komponenten halb vorhanden zurücklassen, und der resultierende Rechner meldet funktionierende Hardware ohne funktionierenden Pfad.
Nichts davon spricht dagegen, überhaupt jemals zurückzusetzen. Es spricht dagegen, zuerst zurückzusetzen, auf einem Rechner, den man nicht dokumentiert hat, wenn der eigentliche Fehler ein Routeneintrag oder ein veralteter Filter sein könnte. Ein Reset ist ein breites Werkzeug mit einer schmalen Erfolgsquote, und ihn als ersten Zug zu verwenden garantiert, dass man nie erfährt, welches von beidem es war.
Sichern Sie die Beweise, bevor Sie die Einstellungen sichern
Der Fehler selbst ist ein Datum. Notieren Sie den genauen Fehlercode, die Uhrzeit, welches Profil ausgewählt war und ob das Gateway überhaupt einen Versuch protokolliert hat. Ein Code, der sagt, der Tunnel habe nie eine Antwort erhalten, und ein Code, der sagt, die Authentifizierung sei fehlgeschlagen, deuten auf völlig unterschiedliche Reparaturen hin. Nach einem Reset können Sie möglicherweise keins von beidem reproduzieren. Behandeln Sie den defekten Zustand als einen Wert, den Sie gleich ausgeben.
Erfassen Sie den Zustand, solange er noch defekt ist, in einem Ordner außerhalb der temporären Verzeichnisse des Rechners:
mkdir C:\vpn-evidence
ipconfig /all > C:\vpn-evidence\ipconfig.txt
route print > C:\vpn-evidence\routes.txt
Get-VpnConnection -AllUserConnection | Export-Csv C:\vpn-evidence\profiles.csv -NoTypeInformation
netsh wfp show state file=C:\vpn-evidence\wfp.xmlDer letzte Befehl ist der, den Leute auslassen, und oft ist er derjenige, der den Fehler erklärt. Übrig gebliebene Filter eines entfernten Clients überleben als dauerhafte Richtlinie, und das exportierte XML ist die einzige lokale Aufzeichnung davon. Lesen Sie es, bevor ein Reset das löscht, was Sie zu identifizieren versuchten.
Sichern Sie die Konfiguration, die nicht zurückkommt
Manche Einstellungen werden automatisch neu erstellt. Statische Adressen, benutzerdefinierte Routen, DNS-Suffixe, Proxy-Ausnahmen und Firewallregeln nicht. Auch die Profile selbst nicht, die in einer Telefonbuchdatei liegen, die der Reset nicht für Sie wiederherstellt.
| What to save | Where it lives | Why the reset loses it |
|---|---|---|
| VPN profiles | rasphone.pbk in ProgramData or the user profile | Profiles are not part of the adapter state |
| Static IP and DNS | Adapter configuration | Adapters are removed and recreated |
| Persistent filters | WFP policy store | Filter state is cleared with the stack |
| Third-party bindings | Adapter binding list | Components must be reinstalled manually |
Get-NetIPConfiguration | Out-File C:\vpn-evidence\netip.txt
Get-NetRoute -AddressFamily IPv4 | Export-Csv C:\vpn-evidence\netroutes.csv -NoTypeInformation
Get-DnsClientServerAddress | Export-Csv C:\vpn-evidence\dns.csv -NoTypeInformation
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject,Thumbprint,NotAfterDie Zertifikatsliste ist wichtiger, als sie aussieht. Clientzertifikate werden durch einen Netzwerkreset nicht zerstört, aber die Liste zeigt Ihnen, auf welche das Profil angewiesen war und ob eines demnächst abläuft. Ein abgelaufenes Zertifikat nach einem Neuaufbau zu entdecken, verschwendet den Neuaufbau.
Schreiben Sie den Wiederherstellungsweg auf, bevor Sie beginnen
Wenn der Rechner entfernt ist und das VPN Ihr einziger Zugang, kann der Reset Ihre Sitzung beenden, und ohne jemanden vor Ort gibt es möglicherweise keinen Weg zurück. Bestätigen Sie, dass ein Out-of-Band-Zugang existiert oder eine Person verfügbar ist, bevor Sie irgendetwas ausführen, das Adapter anfasst.
Lagern Sie die Installer und die Verbindungsdetails dort, wo der Rechner sie später noch erreichen kann. Ein Client, der von einem Herstellerportal neu installiert werden muss, das über den Tunnel erreicht wird, ist eine zirkuläre Abhängigkeit, und das ist der häufigste Weg, auf dem dieses Verfahren zu einem Ausfall wird.
Dann halten Sie fest, was Sie tun und warum, einschließlich der genauen Befehle. Die nächste Person muss wissen, ob der Reset ein Experiment oder eine Entscheidung war, und “wir haben alles versucht” ist keine Aufzeichnung.
Testen Sie nach dem Reset schichtweise
Zu viel auf einmal wiederherzustellen macht das Ergebnis unlesbar. Arbeiten Sie von unten: Adapter und Adresse, dann Namensauflösung, dann die Identitätsstufe des Tunnels, dann die Anwendung. Jede Schicht hat einen Befehl, der ihre eigene Frage beantwortet:
Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceDescription
Resolve-DnsName intranet.example.internal
Get-VpnConnection -Name 'Corp' | Select-Object ConnectionStatus,TunnelType
Test-NetConnection -ComputerName intranet.example.internal -Port 443Wenn die Adapterschicht gesund ist und die Auflösung nicht, halten Sie an und reparieren Sie die Auflösung. Den VPN-Client an dieser Stelle neu zu installieren, fügt eine Variable hinzu und entfernt einen Hinweis. Stellen Sie nur Einstellungen wieder her, die Sie erklären können, eine nach der anderen, und prüfen Sie danach dieselbe Schicht.
Microsofts eigene Fehlerbehebungsanleitung für Fehler 720 unterscheidet zum Beispiel Bindungsprobleme von Adresszuweisungsproblemen, statt einen pauschalen Reset zu verordnen, was der richtige Instinkt für jeden Code in dieser Familie ist. Lesen Sie, was der Code behauptet, bevor Sie zum breitesten verfügbaren Werkzeug greifen.