VPN en Windows: ajuste el cliente al perfil

Windows informa que el túnel está conectado mientras la página de la intranet sigue agotando el tiempo, y el perfil vino de alguien que ya se ha ido. Detrás de ese estado hay dos errores distintos: el cliente equivocado para el archivo y la expectativa equivocada sobre qué cubre el túnel. Distinguirlos requiere unos cuantos comandos y ahorra una reinstalación. Ninguno de los dos se arregla reiniciando.

El cliente integrado solo importa sus propios tipos

Windows incluye un cliente VPN que entiende tipos de conexión concretos, y no importará un archivo OpenVPN ni una configuración de WireGuard, se llame como se llame el archivo. Esos necesitan su propio software, instalado desde la página de descarga verificada del proveedor. Una entrada familiar en el menú de red no demuestra que el servidor la admita, y un perfil renombrado con una extensión familiar sigue siendo el archivo equivocado. El tipo de conexión debe coincidir con lo que entregó el operador, no con lo que el menú ofrezca por casualidad.

Para una conexión nativa, agréguela desde la configuración de red y escriba exactamente los valores que le dieron. Un IKEv2 basado en certificado y un punto de entrada con usuario y contraseña son configuraciones distintas aunque ambas acaben bajo el mismo encabezado. Si un dispositivo gestionado ya proporciona una conexión, use esa en lugar de construir una segunda al lado.

Los pasos de inicio de sesión no son intercambiables

Una conexión puede requerir un usuario y una contraseña, un certificado de cliente, un aviso interactivo o varios de ellos en secuencia. La frase de contraseña de una clave privada desbloquea una clave y no es la contraseña del servicio, aunque ambas se escriban en el mismo diálogo. Un aviso de certificado trata de identidad o de confianza, no de si el nombre de la cuenta está bien escrito. Leer cuál de los tres falló decide el siguiente paso.

Lea el rechazo en lugar de reintentarlo. Un fallo de autenticación y un fallo de confianza se parecen en una ventana de estado y no tienen nada en común por debajo: el primero necesita una credencial, el segundo una cadena que el cliente acepte.

Mantenga las credenciales y el material de certificados fuera de las capturas de pantalla. Una foto de una página de configuración puede exponer a la vez una dirección de servidor y un nombre de usuario guardado, y un hilo de soporte es un documento público más a menudo de lo que la gente espera. Censure antes de publicar, no después de que alguien ya lo haya citado.

En PowerShell, Get-VpnConnection enumera lo que Windows cree que está configurado, incluidas entradas que la ventana de configuración mantiene fuera de la vista. Desde un símbolo del sistema de cmd, rasdial conecta por nombre de conexión y ipconfig /all muestra lo que el adaptador recibió realmente. Los dos shells no comparten analizador, así que pegue cada línea en el correcto.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Decide la tabla de rutas, no el icono del adaptador

Un túnel corporativo puede enrutar solo destinos de oficina, dejando la navegación normal en la conexión local, mientras que un perfil de túnel completo hace lo contrario. Abra el recurso real antes de decidir que alguno de los dos comportamientos es incorrecto. El icono informa del estado del adaptador, y la respuesta vive en la tabla de rutas. Esos dos no coinciden más a menudo de lo que admite una ventana de estado.

Las entradas más específicas pueden enviar una subred dentro del túnel mientras la ruta predeterminada queda fuera, que es exactamente como debe verse un túnel dividido. Una entrada ausente es el otro resultado habitual, y desde el navegador se ve idéntica a un túnel caído. Compare el prefijo al que no llega con la tabla, no con el icono. Por eso el icono y la tabla pueden discrepar mientras ambos dicen la verdad sobre cosas distintas.

No borre rutas porque la tabla contenga adaptadores que no reconozca. Una máquina virtual, un controlador de filtro o un segundo cliente pueden añadir uno cada uno, y quitarlo rompe algo que antes funcionaba.

route print -4
nslookup intranet.corp.internal

Los nombres privados necesitan el resolutor de la organización

Los nombres privados necesitan el resolutor de la organización, y un navegador con su propio DNS seguro puede saltarse por completo la configuración del sistema. Eso produce el caso confuso en el que una consulta de línea de comandos devuelve una dirección y el mismo nombre sigue fallando en el navegador.

Compruebe qué adaptador proporcionó la configuración de DNS actual antes de cambiar nada. Conserve el resolutor de la organización para los nombres privados en lugar de sustituirlo por un servicio público. Sustituirlo por un resolutor público suele arreglar un nombre público y romper todos los internos, lo que es un fallo peor que el que tenía al empezar. Si la conexión informa de éxito y nada funciona, revise el reenvío y el DNS antes de restablecer la pila de red.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

La documentación de Microsoft sobre los tipos de conexión VPN de Windows y los complementos es la referencia de qué cliente gestiona qué tipo, y ninguna etiqueta del menú se lo dice. Vuelva a conectarse tras cualquier cambio y pruebe de nuevo la aplicación real en lugar del icono de estado. Guarde el perfil que funciona donde pueda encontrarlo otra vez, y anote el resolutor y la ruta que lo hicieron funcionar, porque el siguiente equipo necesitará ambos.