VPN de Windows: el perfil guardado frente al estado de la interfaz activa

Una VPN de Windows aparece en dos lugares que responden a preguntas distintas, y confundirlos produce un diagnóstico seguro pero erróneo. El perfil guardado dice qué ha configurado alguien; la interfaz activa dice qué acaba de aplicar la pila. Cuando se establece una conexión y el tráfico sigue tomando la ruta equivocada, hay que leer ambas vistas, en ese orden. Ninguna de las dos por sí sola le dice si el paquete de la aplicación salió por el túnel.

Dos vistas del mismo túnel

La vista del perfil es configuración: dirección del servidor, tipo de túnel, método de autenticación, ajustes de túnel dividido. Puede ser correcta mientras la conexión la ignora, y puede estar desactualizada mientras la conexión funciona perfectamente, porque un cliente que se vuelve a conectar puede no releer lo que usted editó. La vista de la interfaz es estado aplicado: qué adaptadores existen, qué familias de direcciones llevan, sus métricas y su estado de conexión. Cambia a medida que los túneles aparecen y desaparecen, lo que la convierte en el lugar correcto para una pregunta de enrutamiento en vivo y en el lugar equivocado para una pregunta de configuración.

Leerlas juntas es el método completo, y leer cualquiera de ellas sola es como la gente acaba borrando un adaptador sano. Los comandos de abajo producen ambas vistas sin cambiar nada.

Lea ambas vistas sin cambiar nada

Empiece por los perfiles guardados, porque es el hecho más barato de confirmar. Anote el tipo de túnel y el valor de túnel dividido, ya que ambos deciden qué destinos deben entrar en el túnel. Si el perfil es incorrecto, corríjalo mediante su superficie de configuración compatible, porque nada en la lista de interfaces repara un perfil que apunta a una puerta de enlace equivocada.

Get-VpnConnection | Select-Object Name,ServerAddress,TunnelType,SplitTunneling,ConnectionStatus

La vista de la interfaz tiene otra forma: un túnel puede ocupar dos filas cuando lleva ambas familias de direcciones. Lea el índice como la identidad y el alias como una etiqueta que alguien eligió, y espere que el alias cambie entre versiones del cliente.

Get-NetIPInterface | Select-Object InterfaceIndex,InterfaceAlias,AddressFamily,ConnectionState,InterfaceMetric

La presencia no es prueba de uso, porque una interfaz puede existir, estar conectada y aun así no ser la que elige la ruta hacia su destino. Téngalo en cuenta antes de tratar un adaptador desconocido como la culpa. Esos dos fallos se ven idénticos desde fuera: un perfil correcto con una ruta que nunca lo usa, y un perfil incorrecto con una ruta que sí lo usa. Tienen correcciones completamente distintas, y por eso existe la sección siguiente.

Siga la ruta hasta el destino

Pregunte a la pila qué camino tomaría para la dirección con la que la aplicación contacta realmente. Esa es la pregunta que la lista de interfaces no puede responder por sí sola.

Find-NetRoute -RemoteIPAddress 10.60.20.10 | Select-Object -First 1
Get-NetIPAddress -InterfaceIndex 37 | Select-Object IPAddress,AddressFamily,PrefixLength

El primer comando informa de dos campos que merece la pena leer: el alias de interfaz del origen seleccionado y el siguiente salto para ese destino. El índice 37 del segundo comando es lo que haya impreso la primera salida, no una constante que copiar, y la dirección 10.60.20.10 es ilustrativa. Si el origen elegido pertenece al adaptador físico mientras el destino debería estar dentro del túnel, ha encontrado el problema de selección, porque la interfaz VPN puede estar perfectamente sana y simplemente no ser preferida. La métrica solo es una parte de esa decisión, ya que la especificidad de la ruta, la política y el estado de la interfaz participan todas.

Compare tres estados en las mismas condiciones

Registre la lista de interfaces y la ruta elegida antes de conectar, mientras está conectado y después de desconectar, con el mismo destino y los mismos comandos cada vez. Esa comparación separa una interfaz de túnel actual de un adaptador antiguo y oculto dejado por una desinstalación, y de un segundo cliente que también se ejecuta. También le dice si la interfaz del túnel desaparece limpiamente, porque un adaptador que persiste tras desconectar es un problema distinto de uno que nunca apareció. Sin las tres instantáneas, todo alias desconocido parece el culpable.

Guarde las tres salidas con el ticket, porque dos salidas de comandos superan un párrafo de descripción. Un compañero puede compararlas sin repetir su sesión en absoluto.

No borre lo que no ha identificado

Los adaptadores desconocidos suelen pertenecer a algo: un cliente gestionado, un conmutador virtual, una red de contenedores o un agente de seguridad. Borrar uno puede eliminar un componente que funciona y dejar el síntoma original exactamente donde estaba. Si la ruta es obsoleta, encuentre al propietario de la ruta y corríjala allí; si el perfil es incorrecto, edite el perfil. La documentación de Get-NetIPInterface enumera los campos usados arriba, incluidas las columnas de métrica y estado que hacen significativa la comparación.

Nombre el objeto, encuentre a su propietario y luego actúe sobre ese propietario. Cualquier otra cosa es renombrar el problema en lugar de leerlo.