VPN ב-Windows: התאימו את הלקוח לפרופיל
ל-Windows יש לקוח מובנה שאינו מייבא כל פרופיל. התאימו את התוכנה לקובץ, ואז בדקו את המשאב במקום את הסמל.
Windows מדווח שהמנהרה מחוברת בזמן שדף האינטרנט הפנימי עדיין נכשל בזמן המתנה, והפרופיל הגיע ממישהו שכבר עזב. מאחורי המצב הזה עומדות שתי טעויות נפרדות: הלקוח הלא נכון לקובץ, והציפייה הלא נכונה לגבי מה המנהרה מכסה. ההבחנה ביניהן דורשת כמה פקודות וחוסכת התקנה מחדש. אף אחת מהן לא נפתרת בהפעלה מחדש.
הלקוח המובנה מייבא רק את הסוגים שלו
Windows מגיע עם לקוח VPN שמבין סוגי חיבור מסוימים, והוא לא ייבא קובץ OpenVPN או תצורת WireGuard, יהיה שם הקובץ אשר יהיה. אלה זקוקים לתוכנה משלהם, מותקנת מדף ההורדה המאומת של הספק. רשומה מוכרת בתפריט הרשת אינה הוכחה שהשרת תומך בה, ופרופיל ששונה שמו עם סיומת מוכרת הוא עדיין הקובץ הלא נכון. סוג החיבור חייב להתאים למה שהמפעיל סיפק, ולא למה שהתפריט מציע במקרה.
לחיבור מקורי, הוסיפו אותו דרך הגדרות הרשת והקלידו בדיוק את הערכים שקיבלתם. IKEv2 מבוסס תעודה ונקודת כניסה עם שם משתמש וסיסמה הם תצורות שונות גם כששניהם מגיעים תחת אותה כותרת. אם התקן מנוהל כבר מספק חיבור, השתמשו בו במקום לבנות שני לצידו.
שלבי הכניסה אינם ניתנים להחלפה
חיבור עשוי לדרוש שם משתמש וסיסמה, תעודת לקוח, בקשה אינטראקטיבית או כמה מאלה ברצף. סיסמת מפתח פרטי פותחת מפתח ואינה סיסמת השירות, גם כששתיהן מוקלדות באותה תיבה. אזהרת תעודה עוסקת בזהות או באמון, ולא בשאלה אם שם החשבון נכתב נכון. קריאת איזו מהשלוש נכשלה קובעת את הצעד הבא.
קראו את הדחייה במקום לחזור עליה. כשל אימות וכשל אמון נראים דומים בחלון מצב ואין להם דבר במשותף מתחת: הראשון זקוק לאישור גישה, השני לשרשרת שהלקוח מקבל.
הרחיקו אישורי גישה וחומרי תעודות מצילומי מסך. תמונה של דף הגדרות עלולה לחשוף כתובת שרת ושם משתמש שמור בבת אחת, ושרת תמיכה הוא מסמך ציבורי לעתים קרובות יותר ממה שאנשים מצפים. טשטשו לפני פרסום, לא אחרי שמישהו כבר ציטט.
ב-PowerShell, Get-VpnConnection מפרט את מה ש-Windows חושב שמוגדר, כולל רשומות שחלון ההגדרות מסתיר מהעין. משורת הפקודה cmd, rasdial מתחבר לפי שם החיבור ו-ipconfig /all מציג מה שהמתאם קיבל בפועל. שני הקונסולות אינם חולקים מנתח, אז הדביקו כל שורה בנכונה.
Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethodrasdial "Office"
ipconfig /allטבלת הניתוב היא שמכריעה, לא סמל המתאם
מנהרה ארגונית עשויה לנתב רק יעדי משרד ולהשאיר גלישה רגילה בחיבור המקומי, בעוד פרופיל מנהרה מלאה עושה ההפך. פתחו את המשאב האמיתי לפני שאתם מחליטים שאחד מהשניים שגוי. הסמל מדווח על מצב המתאם, והתשובה נמצאת בטבלת הניתוב. השניים האלה חלוקים לעתים קרובות יותר ממה שחלון מצב מודה.
רשומות ספציפיות יותר יכולות לשלוח תת-רשת אל תוך המנהרה בעוד נתיב ברירת המחדל נשאר בחוץ, וזה בדיוק איך מנהרה מפוצלת אמורה להיראות. רשומה חסרה היא התוצאה הנפוצה האחרת, ומהדפדפן היא נראית זהה למנהרה שנפלה. השוו את הקידומת שאליה אינכם מגיעים לטבלה ולא לסמל. זו הסיבה שהסמל והטבלה יכולים לחלוק בזמן ששניהם אומרים אמת על דברים שונים.
אל תמחקו נתיבים רק משום שהטבלה מכילה מתאמים שאינכם מזהים. מכונה וירטואלית, מנהל התקן מסנן או לקוח שני יכולים להוסיף אחד כל אחד, והסרתו שוברת משהו שעבד קודם.
route print -4
nslookup intranet.corp.internalשמות פרטיים זקוקים לפותר של הארגון
שמות פרטיים זקוקים לפותר של הארגון, ודפדפן עם DNS מאובטח משלו יכול לעקוף את הגדרת המערכת לגמרי. זה יוצר את המקרה המבלבל שבו שאילתה משורת הפקודה מחזירה כתובת ואותו שם עדיין נכשל בדפדפן.
בדקו איזה מתאם סיפק את תצורת ה-DNS הנוכחית לפני שתשנו משהו. שמרו על הפותר של הארגון לשמות פרטיים במקום להחליף אותו בשירות ציבורי. החלפה בפותר ציבורי בדרך כלל מתקנת שם ציבורי ושוברת כל שם פנימי, וזה כשל גרוע מזה שהתחלתם איתו. אם החיבור מדווח על הצלחה ושום דבר לא עובד, עברו על ההעברה וה-DNS לפני איפוס מחסנית הרשת.
Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internalהתיעוד של Microsoft על סוגי חיבורי VPN ב-Windows ותוספים הוא המקור לשאלה איזה לקוח מטפל באיזה סוג, ואף תווית בתפריט לא מספרת לכם את זה. התחברו מחדש לאחר כל שינוי ונסו שוב את היישום האמיתי ולא את סמל המצב. שמרו את הפרופיל העובד במקום שבו תמצאו אותו שוב, ורשמו את הפותר והנתיב שהפעילו אותו, כי המכונה הבאה תזדקק לשניהם.