VPN en Windows: axuste o cliente ao perfil

Windows informa de que o túnel está conectado mentres a páxina da intranet segue esgotando o tempo, e o perfil veu de alguén que xa marchou. Detrás dese estado hai dous erros distintos: o cliente equivocado para o ficheiro e a expectativa equivocada sobre o que cobre o túnel. Distinguilos require uns cantos comandos e aforra unha reinstalación. Ningún dos dous se arranxa reiniciando.

O cliente integrado só importa os seus propios tipos

Windows inclúe un cliente VPN que entende tipos de conexión concretos, e non importará un ficheiro OpenVPN nin unha configuración de WireGuard, chámese como se chame o ficheiro. Eses necesitan o seu propio software, instalado desde a páxina de descarga verificada do provedor. Unha entrada familiar no menú de rede non demostra que o servidor a admita, e un perfil renomeado cunha extensión familiar segue sendo o ficheiro equivocado. O tipo de conexión debe coincidir co que forneceu o operador, non co que o menú ofreza por casualidade.

Para unha conexión nativa, engádaa desde a configuración de rede e escriba exactamente os valores que lle deron. Un IKEv2 baseado en certificado e un punto de acceso con usuario e contrasinal son configuracións distintas aínda que ambas acaben baixo o mesmo encabezado. Se un dispositivo xestionado xa fornece unha conexión, use esa en lugar de construír unha segunda ao lado.

Os pasos de inicio de sesión non son intercambiables

Unha conexión pode requirir un usuario e un contrasinal, un certificado de cliente, un aviso interactivo ou varios deles en secuencia. A frase de paso dunha clave privada desbloquea unha clave e non é o contrasinal do servizo, aínda que ambas se escriban no mesmo diálogo. Un aviso de certificado trata de identidade ou de confianza, non de se o nome da conta está ben escrito. Ler cal dos tres fallou decide o seguinte paso.

Lea o rexeitamento en lugar de reintentalo. Un fallo de autenticación e un fallo de confianza parécense nunha xanela de estado e non teñen nada en común por debaixo: o primeiro necesita unha credencial, o segundo unha cadea que o cliente acepte.

Manteña as credenciais e o material de certificados fóra das capturas de pantalla. Unha foto dunha páxina de configuración pode expor á vez un enderezo de servidor e un nome de usuario gardado, e un fío de asistencia é un documento público máis a miúdo do que a xente espera. Censure antes de publicar, non despois de que alguén xa o citase.

En PowerShell, Get-VpnConnection lista o que Windows cre que está configurado, incluídas entradas que a xanela de configuración mantén fóra da vista. Desde unha consola de cmd, rasdial conecta polo nome da conexión e ipconfig /all mostra o que o adaptador recibiu realmente. As dúas consolas non comparten analizador, así que pegue cada liña na correcta.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Decide a táboa de rutas, non a icona do adaptador

Un túnel corporativo pode encamiñar só destinos de oficina, deixando a navegación normal na conexión local, mentres que un perfil de túnel completo fai o contrario. Abra o recurso real antes de decidir que algún dos dous comportamentos é incorrecto. A icona informa do estado do adaptador, e a resposta está na táboa de rutas. Esas dúas non coinciden máis a miúdo do que admite unha xanela de estado.

As entradas máis específicas poden enviar unha subrede dentro do túnel mentres a ruta predeterminada queda fóra, que é exactamente como debe verse un túnel dividido. Unha entrada ausente é o outro resultado habitual, e desde o navegador parécese idéntica a un túnel caído. Compare o prefixo ao que non chega coa táboa, non coa icona. Por iso a icona e a táboa poden discrepar mentres ambas din a verdade sobre cousas distintas.

Non borre rutas porque a táboa conteña adaptadores que non recoñeza. Unha máquina virtual, un controlador de filtro ou un segundo cliente poden engadir un cada un, e quitalo rompe algo que antes funcionaba.

route print -4
nslookup intranet.corp.internal

Os nomes privados necesitan o resolutor da organización

Os nomes privados necesitan o resolutor da organización, e un navegador co seu propio DNS seguro pode saltar por completo a configuración do sistema. Iso produce o caso confuso no que unha consulta de liña de comandos devolve un enderezo e o mesmo nome segue fallando no navegador.

Comprobe que adaptador forneceu a configuración DNS actual antes de cambiar nada. Manteña o resolutor da organización para os nomes privados en lugar de substituílo por un servizo público. Substituílo por un resolutor público adoita arranxar un nome público e romper todos os internos, o que é un fallo peor que o que tiña ao comezar. Se a conexión informa de éxito e nada funciona, repase o reenvío e o DNS antes de restablecer a pila de rede.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

A documentación de Microsoft sobre os tipos de conexión VPN de Windows e os complementos é a referencia de que cliente xestiona que tipo, e ningunha etiqueta do menú llo di. Vólvase conectar tras calquera cambio e probe de novo a aplicación real en lugar da icona de estado. Garde o perfil que funciona onde o poida atopar outra vez, e anote o resolutor e a ruta que o fixeron funcionar, porque o seguinte equipo necesitará ambos.