VPN en Windows: agordu la klienton al la profilo

Windows raportas la tunelon kiel konektita dum la intranetpaĝo ankoraŭ tempas, kaj la profilo venis de iu, kiu jam foriris. Du apartaj eraroj staras malantaŭ tiu stato: la malĝusta kliento por la dosiero, kaj la malĝusta atendo pri tio, kion la tunelo kovras. Distingi ilin postulas kelkajn komandojn kaj ŝparas reinstalon. Neniu el ili estas riparita per restartigo.

La enkonstruita kliento importas nur siajn proprajn tipojn

Windows liveras VPN-klienton, kiu komprenas difinitajn konektotipojn, kaj ĝi ne importos OpenVPN-dosieron aŭ WireGuard-agordon, kiel ajn la dosiero nomiĝas. Tiuj bezonas propran programaron, instalitan el la kontrolita elŝutpaĝo de la vendisto. Konata ero en la retmenuado ne pruvas, ke la servilo subtenas ĝin, kaj profilo renomita kun konata finaĵo restas la malĝusta dosiero. La konektotipo devas kongrui kun tio, kion liveris la administranto, ne kun tio, kion la menuo hazarde proponas.

Por denaska konekto, aldonu ĝin per la retagordoj kaj entajpu precize la valorojn, kiujn vi ricevis. Certifikat-bazita IKEv2 kaj enirpunkto kun uzantnomo kaj pasvorto estas malsamaj agordoj, eĉ kiam ambaŭ finiĝas sub la sama rubriko. Se administrata aparato jam liveras konekton, uzu tiun anstataŭ konstrui duan apude.

Salutaj paŝoj ne estas interŝanĝeblaj

Konekto povas postuli uzantnomon kaj pasvorton, klientan certifikaton, interagan peton aŭ plurajn el tiuj sinsekve. Pasfrazo de privata ŝlosilo malŝlosas ŝlosilon kaj ne estas la serva pasvorto, eĉ kiam ambaŭ estas entajpataj en la sama dialogo. Certifikata averto temas pri identeco aŭ fido, ne pri tio, ĉu la kontnomo estas ĝuste literumita. Legi, kiu el la tri malsukcesis, decidas la sekvan paŝon.

Legu la rifuzon anstataŭ ripeti ĝin. Aŭtentiga fiasko kaj fida fiasko aspektas similaj en statfenestro kaj havas nenion komunan sube: la unua bezonas identigilon, la dua ĉenon, kiun la kliento akceptas.

Tenu identigilojn kaj certifikatan materialon ekster ekrankopioj. Foto de agorda paĝo povas malkaŝi servilan adreson kaj konservitan uzantnomon samtempe, kaj subtena fadeno estas publika dokumento pli ofte, ol homoj atendas. Kaŝu antaŭ afiŝado, ne poste, kiam iu jam citis ĝin.

En PowerShell, Get-VpnConnection listigas tion, kion Windows opinias agordita, inkluzive erojn, kiujn la agorda fenestro tenas ekster la vidkampo. El cmd-prompt, rasdial konektiĝas laŭ konekta nomo kaj ipconfig /all montras, kion la adaptilo efektive ricevis. La du ŝeloj ne dividas analizilon, do algluu ĉiun linion en la ĝustan.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Decidas la enkursiga tabelo, ne la adaptila ikono

Entreprena tunelo povas enkursigi nur oficejajn celojn, lasante ordinaran retumiĝadon sur la loka konekto, dum plentunela profilo faras la malon. Malfermu la realan rimedon antaŭ ol decidi, ke iu el la du kondutoj estas malĝusta. La ikono raportas la staton de la adaptilo, kaj la respondo loĝas en la enkursiga tabelo. Tiuj du malkonsentas pli ofte, ol statfenestro konfesas.

Pli specifaj eroj povas sendi subreton en la tunelon dum la defaŭlta vojo restas ekstere, kaj ĝuste tiel devas aspekti dividita tunelo. Mankanta ero estas la alia ofta rezulto, kaj el la retumilo ĝi aspektas idente al tunelo, kiu ne funkcias. Komparu la prefikson, kiun vi ne povas atingi, kun la tabelo anstataŭ kun la ikono. Tial la ikono kaj la tabelo povas malkonsenti dum ambaŭ diras la veron pri malsamaj aferoj.

Ne forigu vojojn ĉar la tabelo enhavas adaptilojn, kiujn vi ne rekonas. Virtuala maŝino, filtra pelilo aŭ dua kliento povas ĉiu aldoni unu, kaj forigi ĝin rompas ion, kio antaŭe funkciis.

route print -4
nslookup intranet.corp.internal

Privataj nomoj bezonas la solvilon de la organizo

Privataj nomoj bezonas la solvilon de la organizo, kaj retumilo kun propra sekura DNS povas tute preterpasi la sistemagordon. Tio kreas la konfuzan kazon, kie mendlinia serĉo redonas adreson kaj la sama nomo ankoraŭ fiaskas en la retumilo.

Kontrolu, kiu adaptilo liveris la nunan DNS-agordon, antaŭ ol ŝanĝi ion ajn. Konservu la solvilon de la organizo por privataj nomoj anstataŭ anstataŭigi ĝin per publika servo. Anstataŭigo per publika solvilo kutime riparas publikan nomon kaj rompas ĉiun internan, kio estas pli malbona fiasko ol tiu, kun kiu vi komencis. Se la konekto raportas sukceson kaj nenio funkcias, trairu plusendadon kaj DNS antaŭ ol restarigi la retan stakon.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

La dokumentaro de Microsoft pri Windows VPN-konektotipoj kaj kromaĵoj estas la referenco pri tio, kiu kliento traktas kiun tipon, kaj neniu menuetikedo diras tion al vi. Rekonektiĝu post ĉiu ŝanĝo kaj retestu la realan aplikaĵon anstataŭ la statikonon. Konservu la funkciantan profilon tie, kie vi retrovos ĝin, kaj notu la solvilon kaj la vojon, kiuj igis ĝin funkcii, ĉar la sekva maŝino bezonos ambaŭ.