Quel type de VPN Windows votre profil a-t-il réellement installé ?

Windows comporte deux choses différentes qui apparaissent toutes deux sous l’intitulé VPN : des profils de protocole intégrés que le système d’exploitation implémente lui-même, et une plateforme pour les plug-ins de fournisseurs qui apportent leur propre implémentation. Un plug-in n’est pas un autre nom pour choisir IKEv2 ou SSTP dans un profil natif, et un profil natif ne peut pas absorber les réglages d’un fournisseur en renommant simplement le type de tunnel. L’essentiel de la confusion ici vient d’un article de support écrit pour l’un des deux et appliqué à l’autre. Savoir lequel vous avez est la première étape, et cela prend environ une minute.

Deux choses différentes appelées connexion VPN

Les types intégrés sont ceux que Windows implémente lui-même : IKEv2, SSTP, L2TP/IPsec, PPTP et l’option automatique qui choisit entre eux. Un plug-in de fournisseur est un paquet distinct, généralement installé par l’installateur propre au fournisseur, qui enregistre une implémentation auprès de la plateforme et apparaît comme son propre type de connexion.

Le mot application ne tranche pas lequel est installé. Un fournisseur peut livrer un plug-in, un client de bureau autonome ou les deux, et ils se comportent différemment.

Parcourez le chemin des Paramètres et regardez ce que propose la connexion. Paramètres, Réseau et Internet, VPN, puis ouvrez les propriétés de la connexion : un profil natif affiche une liste déroulante de type VPN avec les noms intégrés, et ses options avancées exposent les méthodes d’authentification prises en charge par Windows. Si la seule surface de configuration est la boîte de dialogue du fournisseur, ou si le type n’est pas dans cette liste, vous avez affaire à un plug-in ou à un client autonome. Notez lequel des trois il s’agit avant de changer quoi que ce soit.

Parcourez les paramètres et voyez lequel vous avez

La vue PowerShell est plus rapide si vous gérez plusieurs machines. Get-VpnConnection liste les connexions que Windows gère lui-même, et chaque résultat comporte un TunnelType. Une connexion gérée par un fournisseur peut ne pas y apparaître du tout, et c’est en soi la réponse.

Les profils natifs se créent avec leurs propres paramètres pris en charge : Add-VpnConnection -Name Corp -ServerAddress vpn.example.com -TunnelType IKEv2 -AuthenticationMethod EAP et, lorsque la méthode l’exige, une configuration EAP fournie sous forme de XML. C’est la surface que Windows documente, et elle n’accepte ni un XML de fournisseur quelconque ni un fichier de configuration OpenVPN comme profil équivalent. Tenter cette traduction est la façon dont les gens concluent que la plateforme est cassée alors que le profil n’a jamais été natif.

Ce que le fournisseur possède

Un plug-in possède les détails d’implémentation, et c’est pourquoi la distinction compte au-delà du nom. Son application, son flux d’authentification et son schéma de configuration appartiennent au fournisseur, et la documentation du fournisseur en est la seule source correcte.

Cette propriété a des conséquences pratiques. Le canal de mise à jour est celui du fournisseur et non Windows Update, donc une version qui corrige un problème de compatibilité arrive par un autre mécanisme. Le chemin de désinstallation est également celui du fournisseur, et supprimer l’entrée de connexion dans les Paramètres peut laisser l’application du fournisseur et son déploiement géré en place. Et le schéma du profil est celui du fournisseur, donc un réglage présent dans le profil d’un fournisseur n’a aucun sens dans celui d’un autre, même lorsque le libellé correspond.

Suivez la source réelle de configuration

Pour un déploiement géré, utilisez ensemble la documentation du fournisseur et celle de l’organisation au lieu de substituer l’une à l’autre. Vérifiez les versions prises en charge, le schéma du profil et si le déploiement cible l’utilisateur ou l’appareil.

Cette dernière distinction compte plus qu’il n’y paraît. Un déploiement par utilisateur et un déploiement par appareil ont des prérequis différents et des modes d’échec différents, et un paquet qui s’installe correctement dans un contexte peut être invisible dans l’autre. Si le fournisseur attendu manque, installer un client sans rapport portant un nom similaire n’apporte aucune compatibilité, quoi que le nom suggère.

Après la configuration, testez l’authentification puis testez ce que le profil a réellement appliqué. Un profil qui apparaît dans une liste de paramètres n’est pas un test d’accès aux applications. Confirmez la route empruntée par le trafic et les serveurs DNS utilisés, car un plug-in peut installer ses propres routes et résolveurs, et ce sont ces éléments que les utilisateurs remarquent lorsqu’ils sont faux. Ouvrez ensuite l’application dont l’utilisateur a réellement besoin, car un état connecté et une session fonctionnelle sont deux affirmations différentes.

Testez ce que le profil a réellement appliqué

Lors d’une escalade, indiquez le nom et la version du fournisseur plutôt que seulement la version de Windows et l’adresse du serveur. Un ticket qui dit que le VPN ne se connecte pas sous Windows 11 ne dit rien à la personne suivante sur lequel des trois arrangements est en jeu.

Gardez les mises à jour et la désinstallation liées au composant propriétaire, et notez lequel c’est à côté du nom de la connexion. La documentation Microsoft sur les types de connexion VPN et les plug-ins est la référence pour la liste intégrée et le modèle de plug-in. Si les instructions de l’organisation nomment un fournisseur, la documentation du fournisseur régit le profil. Tout le reste est une supposition sur la fonction de Windows que vous regardez.