VPN Windowsissa: sovita asiakas profiiliin

Windows ilmoittaa tunnelin yhdistetyksi, vaikka intranet-sivu yhä aikakatkaistaan, ja profiili tuli henkilöltä, joka on sittemmin lähtenyt. Tämän tilan takana on kaksi erillistä virhettä: väärä asiakas tiedostolle ja väärä odotus siitä, mitä tunneli kattaa. Niiden erottaminen vaatii pari komentoa ja säästää uudelleenasennuksen. Kumpikaan ei korjaannu uudelleenkäynnistyksellä.

Sisäänrakennettu asiakas tuo vain omat tyyppinsä

Windowsin mukana tulee VPN-asiakas, joka ymmärtää tiettyjä yhteystyyppejä, eikä se tuo OpenVPN-tiedostoa tai WireGuard-määritystä, oli tiedoston nimi mikä tahansa. Ne tarvitsevat oman ohjelmistonsa, joka asennetaan toimittajan vahvistetulta lataussivulta. Tutulta näyttävä merkintä verkkovalikossa ei todista, että palvelin tukee sitä, ja tutulla päätteellä uudelleennimetty profiili on edelleen väärä tiedosto. Yhteystyypin on vastattava sitä, mitä operaattori toimitti, ei sitä, mitä valikko sattuu tarjoamaan.

Lisää natiiviyhteys verkkosasetusten kautta ja kirjoita täsmälleen ne arvot, jotka sait. Varmenteeseen perustuva IKEv2 ja käyttäjätunnus-salasanaliittymä ovat eri määrityksiä, vaikka molemmat päätyvät saman otsikon alle. Jos hallittu laite tarjoaa jo yhteyden, käytä sitä sen sijaan, että rakentaisit toisen sen viereen.

Kirjautumisvaiheet eivät ole vaihdettavissa

Yhteys voi vaatia käyttäjätunnuksen ja salasanan, asiakasvarmenteen, vuorovaikutteisen kehotteen tai useita niistä peräkkäin. Yksityisavaimen salalause avaa avaimen eikä ole palvelun salasana, vaikka molemmat kirjoitetaan samaan valintaikkunaan. Varmennevaroitus koskee identiteettiä tai luottamusta, ei sitä, onko tilin nimi kirjoitettu oikein. Sen lukeminen, mikä kolmesta epäonnistui, ratkaisee seuraavan vaiheen.

Lue hylkäys sen sijaan, että toistaisit sen. Todennusvirhe ja luottamusvirhe näyttävät samalta tilaikkunassa eikä niillä ole alla mitään yhteistä: ensimmäinen tarvitsee tunnisteen, toinen ketjun, jonka asiakas hyväksyy.

Pidä tunnistetiedot ja varmennemateriaali poissa kuvakaappauksista. Kuva asetussivusta voi paljastaa palvelimen osoitteen ja tallennetun käyttäjätunnuksen kerralla, ja tukiketju on julkinen asiakirja useammin kuin ihmiset odottavat. Peitä tiedot ennen julkaisua, älä sen jälkeen kun joku on jo lainannut sitä.

PowerShellissä Get-VpnConnection luettelee, mitä Windows uskoo olevan määritetty, mukaan lukien merkinnät, jotka asetusikkuna pitää poissa näkyvistä. Cmd-kehotteesta rasdial yhdistää yhteyden nimellä ja ipconfig /all näyttää, mitä sovitin todella vastaanotti. Kaksi kuorta eivät jaa jäsennintä, joten liitä kukin rivi oikeaan.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Reititystaulu ratkaisee, ei sovittimen kuvake

Yrityksen tunneli voi reitittää vain toimiston kohteet ja jättää tavallisen selailun paikalliseen yhteyteen, kun taas täystunnelin profiili tekee päinvastoin. Avaa todellinen kohde ennen kuin päätät, että jompikumpi käyttäytyminen on väärin. Kuvake kertoo sovittimen tilan, ja vastaus on reititystaulussa. Ne kaksi ovat eri mieltä useammin kuin tilaikkuna myöntää.

Tarkemmat merkinnät voivat lähettää aliverkon tunneliin, kun oletusreitti jää sen ulkopuolelle, ja juuri siltä jaetun tunnelin kuuluu näyttää. Puuttuva merkintä on toinen yleinen tulos, ja selaimesta se näyttää täsmälleen samalta kuin alhaalla oleva tunneli. Vertaa etuliitettä, johon et pääse, tauluun etkä kuvakkeeseen. Siksi kuvake ja taulu voivat olla eri mieltä, vaikka molemmat kertovat totuuden eri asioista.

Älä poista reittejä siksi, että taulussa on sovittimia, joita et tunnista. Virtuaalikone, suodatinajuri tai toinen asiakas voi kukin lisätä yhden, ja sen poistaminen rikkoo jotain, mikä ennen toimi.

route print -4
nslookup intranet.corp.internal

Yksityiset nimet tarvitsevat organisaation ratkaisijan

Yksityiset nimet tarvitsevat organisaation ratkaisijan, ja selain, jolla on oma suojattu DNS, voi ohittaa järjestelmäasetuksen kokonaan. Siitä syntyy hämmentävä tapaus, jossa komentorivihaku palauttaa osoitteen ja sama nimi epäonnistuu silti selaimessa.

Tarkista, mikä sovitin toimitti nykyisen DNS-määrityksen, ennen kuin muutat mitään. Pidä organisaation ratkaisija yksityisille nimille sen sijaan, että korvaisit sen julkisella palvelulla. Julkisella ratkaisijalla korvaaminen yleensä korjaa julkisen nimen ja rikkoo kaikki sisäiset, mikä on pahempi vika kuin alkuperäinen. Jos yhteys ilmoittaa onnistumisesta eikä mikään toimi, käy läpi edelleenohjaus ja DNS ennen verkkopinon nollausta.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Microsoftin dokumentaatio Windowsin VPN-yhteystyypeistä ja laajennuksista on viite siihen, mikä asiakas käsittelee mitäkin tyyppiä, eikä mikään valikon merkintä kerro sitä sinulle. Yhdistä uudelleen jokaisen muutoksen jälkeen ja kokeile uudelleen todellista sovellusta tilakuvakkeen sijaan. Tallenna toimiva profiili sinne, mistä löydät sen uudelleen, ja kirjaa ratkaisija ja reitti, jotka saivat sen toimimaan, koska seuraava kone tarvitsee molemmat.