VPN op Windows: pas de klient by it profyl

Windows meldt de tunnel as ferbûn wylst de intranet-side noch altyd yn tiid útrint, en it profyl kaam fan immen dy’t sûnt fuortgien is. Twa aparte flaters steane efter dy steat: de ferkearde klient foar it bestân, en de ferkearde ferwachting oer wat de tunnel beslacht. It ûnderskieden fan dy beiden kostet in pear opdrachten en sparret in weromynstallaasje. Net ien fan beiden wurdt reparearre troch opnij op te starten.

De ynboude klient ymportearret allinnich syn eigen typen

Windows leveret in VPN-klient dy’t spesifike ferbiningstypen begrypt, en hy sil gjin OpenVPN-bestân of WireGuard-konfiguraasje ymportearje, hoe’t it bestân ek hjit. Dy hawwe har eigen software nedich, ynstallearre fan ’e ferifiearre downloadside fan ’e leveransier. In fertroude ynfiering yn it netwurkmenu is gjin bewiis dat de server it stipet, en in profyl dat mei in fertroude útwreiding omneamd is, is noch altyd it ferkearde bestân. It ferbiningstype moat oerienkomme mei wat de operator levere hat, net mei wat it menu tafallich biedt.

Foar in nasjonale ferbining foegje dy ta fia de netwurkyustellingen en typ krekt de wearden yn dy’tst krigen hast. IKEv2 op basis fan sertifikaat en in tagongspunt mei brûkersnamme en wachtwurd binne ferskillende konfiguraasjes, ek as beide ûnder deselde kop einigje. As in beheard apparaat al in ferbining leveret, brûk dy dan ynstee fan in twadde derneist te bouwen.

Oanmeldstappen binne net útwikselber

In ferbining kin in brûkersnamme en wachtwurd, in kliïntsertifikaat, in ynteraktive fraach of ferskate dêrfan efterinoar freegje. In wachtwurd fan in priveekaaai ûntslút in kaai en is net it wachtwurd fan ’e tsjinst, ek as beide yn deselde dialooch typt wurde. In sertifikaatwarskôging giet oer identiteit of fertrouwen, net oer de fraach oft de kontnamme goed stavere is. Lêze hokker fan ’e trije mislearre is, bepaalt de folgjende stap.

Lês de ôfwizing ynstee fan dy te werheljen. In autentikaasjeflater en in fertrouwensflater lykje itselde yn in statusfinster en hawwe ûnderoan neat mienskiplik: de earste hat in legitimasje nedich, de twadde in keten dy’t de klient akseptearret.

Hâld legitimasjes en sertifikaatmateriaal bûten skermôfbyldings. In foto fan in ynstellingsside kin tagelyk in serveradres en in bewarre brûkersnamme bleatjaan, en in stipe-tried is faker in iepenbier dokumint as minsken ferwachtsje. Fertsjusterje foar it pleatsen, net neidat immen it al sitearre hat.

Yn PowerShell listet Get-VpnConnection wat Windows mient dat konfigurearre is, ynklusyf ynfieringen dy’t it ynstellingsfinster út it each hâldt. Fan in cmd-prompts ôf ferbynt rasdial op ferbiningsnamme en ipconfig /all lit sjen wat de adapter eins ûntfongen hat. De twa shells diele gjin parser, dus plak elke rigel yn ’e rjochte.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

De rûtetabel beslút, net it adapterikoan

In bedriuwstunnel kin allinnich kantoarbestimmingen routearje en gewoan browsen op ’e lokale ferbining litte, wylst in folsleine-tunnelprofyl it tsjinstelde docht. Iepenje de echte boarne foardatst beslút dat ien fan beide gedrach ferkeard is. It ikoan rapportearret adaptersteat, en it antwurd leit yn ’e rûtetabel. Dy beiden binne it faker net iens as in statusfinster tajout.

Mear spesifike ynfieringen kinne in subnet de tunnel yn stjoere wylst de standertrûte bûten bliuwt, en dat is krekt hoe’t in splitst tunnel derút heart te sjen. In ûntbrekkende ynfiering is de oare gewoane útkomst, en fan ’e browser ôf liket dy identyk oan in tunnel dy’t dei is. Fergelykje it foarheaksel dêr’tst net by komme kinst mei de tabel ynstee fan mei it ikoan. Dêrom kinne it ikoan en de tabel faninoar ôfwike wylst beide de wierheid sizze oer ferskillende dingen.

Wiskje gjin rûtes om’t de tabel adapters befettet dy’tst net werkenst. In firtuele masine, in filterbestjoerder of in twadde klient kin elk ien tafoegje, en it fuortheljen brekt eat dat earder wurke.

route print -4
nslookup intranet.corp.internal

Priveenammen hawwe de resolver fan ’e organisaasje nedich

Priveenammen hawwe de resolver fan ’e organisaasje nedich, en in browser mei syn eigen feilige DNS kin de systeemynstelling folslein omgean. Dat jout it betiizjende gefal wêrby’t in kommandorigelsochtopdracht in adres werombringt en deselde namme noch altyd yn ’e browser mislearret.

Kontrolearje hokker adapter de hjoeddeiske DNS-konfiguraasje levere hat foardatst eat feroarest. Hâld de resolver fan ’e organisaasje foar priveenammen ynstee fan dy te ferfangen troch in iepenbiere tsjinst. It ferfangen troch in iepenbiere resolver reparearret meastentiids in iepenbiere namme en breekt elke ynterne, wat in slimmer flater is as dy’tst begûn bist. As de ferbining sukses rapportearret en neat wurket, wurkje dan troch trochstjoering en DNS foardatst de netwurkstapel weromsetst.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

De dokumintaasje fan Microsoft oer Windows VPN-ferbiningstypen en tafoegings is de referinsje foar hokker klient hokker type behannelet, en gjin menulabel fertelt dy dat. Ferbyn opnij nei elke feroaring en probearje de echte tapassing opnij ynstee fan it statusikoan. Bewarje it wurkjende profyl wêr’tst it wer fine kinst, en notearje de resolver en de rûte dy’t it wurkje lieten, want de folgjende masine hat beide nedich.