L’icône internet est fausse mais le VPN fonctionne ? Trois vérifications

La zone de notification indique qu’il n’y a pas d’internet, l’application privée continue de fonctionner et quelqu’un veut changer le profil VPN jusqu’à ce que l’icône se comporte correctement. Trois observations différentes sont fusionnées en une seule, et une seule d’entre elles concerne le tunnel. Les séparer évite qu’un problème d’icône ne devienne un changement de profil inutile.

Nommez d’abord l’observation, puis décidez si quelque chose doit vraiment être réparé.

Trois observations, trois questions

L’indicateur de connectivité de Windows répond à ce que le processus de détection du système a établi pour le profil réseau actuel. L’état du client VPN répond à la question de savoir si ce client signale une session de pair établie. Une nouvelle opération applicative répond à la question de savoir si une requête précise a fonctionné par le chemin qu’elle a emprunté. Chacune est un résultat légitime et aucune ne remplace les autres. Les fusionner produit une réparation visant la mauvaise couche.

La confusion classique consiste à traiter la première comme un résumé des deux autres. Une machine peut avoir un tunnel sain avec des ressources privées qui fonctionnent et être malgré tout classée comme sans internet, parce que le classement vient d’une sonde qui n’a jamais atteint son service.

Get-NetConnectionProfile
Get-DnsClientServerAddress -AddressFamily IPv4
Test-NetConnection -ComputerName internal.example -Port 443

Notez les trois résultats avec un horodatage avant de toucher à quoi que ce soit. La plupart de ces signalements se résolvent à cette étape, parce que le désaccord devient évident dès qu’il est écrit.

Ce que fait réellement le processus de classification

La présentation de NCSI de Microsoft décrit un sondage actif par requêtes HTTP vers un service de sonde configuré, combiné à l’observation passive du trafic réseau. L’absence de réponse attendue peut venir du routage, d’un proxy ou d’une autre condition d’environnement sur ce chemin. Il est plus précis qu’un test de joignabilité général et plus étroit qu’on ne le suppose. Cette étroitesse est toute la raison pour laquelle le désaccord apparaît.

Ce qu’il n’audite jamais, c’est le chiffrement, la confidentialité du résolveur ou le fait qu’une application soit autorisée. Une classification positive ne prouve pas que chaque application utilise le tunnel, et une négative ne prouve pas que le tunnel est hors service.

La confusion inverse est tout aussi fréquente. Un tunnel peut être établi alors que l’application pour laquelle il a été construit n’a pas de route utilisable, pas de résolveur fonctionnel et pas d’autorisation. L’indicateur du client signale un résultat plus ancien et plus étroit que celui dont vous avez besoin.

Le désaccord lui-même indique quoi corriger

L’accès privé fonctionne et le système dit qu’il n’y a pas d’internet : le composant qui échoue est le chemin de la sonde, pas le tunnel. Notez l’interface et l’heure, puis demandez au responsable du réseau d’examiner comment la sonde atteint son service et si une politique la bloque. Remplacer un profil d’accès privé qui fonctionne par une route internet large change une icône et élargit un accès que vous n’aviez pas demandé à élargir.

Le tunnel signale une connexion et les nouvelles requêtes vers les services requis échouent : c’est une panne réelle, et qualifier l’icône de fausse alerte la contourne. Comparez l’erreur de l’application, la portée prévue du profil, le résolveur utilisé et les routes sélectionnées. Un tunnel purement privé n’est pas conçu pour fournir une sortie internet publique, et en attendre une est une erreur de portée plutôt qu’un défaut.

Garder la trace, changer un seul chemin

Utilisez une opération nouvelle dans l’application concernée plutôt qu’une page ouverte depuis ce matin. Maintenez le blocage requis actif et faites toute comparaison directe autorisée via les contrôles documentés du client, et non en modifiant les routes à la main.

Si un proxy ou un pare-feu géré bloque la sonde prévue, corrigez ce chemin précis avec son responsable. Les recommandations de Microsoft déconseillent de désactiver le sondage actif comme solution, et une exception d’adresse codée en dur ou une modification du registre n’expliquent pas quel composant répond mal.

Après le changement, conservez les trois résultats dans le ticket : classification, état de session et résultat applicatif. Si seule l’icône a bougé, vous avez appris qu’un indicateur a changé, non que la base de données ou le site fonctionne maintenant.