Niente internet dopo aver disinstallato la VPN? Controlla tre proprietari

Il client è sparito e la macchina non raggiunge ancora nulla, il che invoglia ad appiattire il firewall e ricominciare da zero. Non fatelo. Lo stato di blocco può arrivare da tre proprietari diversi sulla stessa macchina, e ciascuno ha il proprio percorso di rimozione. Svuotare tutto in una volta rimuove l’oggetto che volevate eliminare insieme alla protezione che vi serve ancora, e distrugge anche la prova di quale proprietario abbia causato il problema. Cinque controlli, in ordine, lo impediscono.

Controllo 1: cosa c’è ancora, e a cosa serve

Cercate i tre artefatti separatamente: un adattatore virtuale che esiste ancora, un filtro o una regola del firewall che blocca ancora, e una rotta o una regola di criterio che punta ancora a un tunnel che non esiste più. La loro presenza non dimostra nulla da sola, perché un interruttore di emergenza intenzionale appare dall’esterno come uno abbandonato.

Get-NetAdapter | Where-Object Status -eq 'Up'
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object Action -eq 'Block'
ip route show
ip -4 rule show

Annotate l’ora in cui la connettività si è fermata e se il client normale può ancora avviare il suo tunnel. Se il client può ripristinare il tunnel e il traffico torna, il blocco fa il suo lavoro e il problema è lo stato del client, non una regola rimasta.

Controllo 2: quale proprietario lo controlla

Ogni artefatto ha un proprietario. L’adattatore virtuale appartiene al client VPN o al suo driver. Il filtro può appartenere al client, al firewall della piattaforma o a un prodotto di sicurezza gestito. La rotta potrebbe essere stata installata dal client al momento della connessione e lasciata indietro.

Su apparecchiature gestite, controllate il criterio del dispositivo prima di toccare qualsiasi cosa. Un filtro imposto da criterio verrà ripristinato al prossimo accesso, quindi una rimozione locale compra un’ora e un rapporto di conformità. Quella conversazione spetta all’amministratore, non all’interfaccia del firewall.

Controllo 3: rimuovete la cosa più stretta che lo spiega

Cominciate dal percorso supportato dal fornitore: un’installazione di riparazione o una disinstallazione corretta spesso ripulisce bene lo stato generato, compresi filtri che una rimozione manuale salterebbe. Leggete le istruzioni di ripristino per la versione installata, perché l’ordine conta e una disinstallazione dopo una rimozione andata male si comporta diversamente.

Se l’ispezione manuale è davvero necessaria, annotate il nome della regola, l’interfaccia e lo scopo dichiarato prima di cambiare qualcosa, e rimuovete quell’oggetto per nome. Rimuovere ogni adattatore di rete o svuotare l’intero insieme di regole per colpire un solo client è il modo in cui un caso di assistenza diventa una ricostruzione.

Controllo 4: il DNS e le rotte sopravvivono agli adattatori

Lo stato di risoluzione può sopravvivere al tunnel. Un resolver che punta ancora a un indirizzo dentro un tunnel che non esiste più produce timeout che sembrano esattamente una caduta del firewall, e la conclusione abituale è quella sbagliata.

resolvectl status
ip route get 1.1.1.1
nslookup example.com

Se l’indirizzo si risolve e una connessione grezza via IP funziona, il DNS è il problema rimasto e non il filtraggio. Se entrambi falliscono, tornate al controllo uno con la rotta e il filtro in mano.

Controllo 5: ricontrollate entrambi i percorsi e rimettete la diagnostica

Verificate prima la connettività ordinaria, poi ogni profilo VPN rimasto tramite i suoi controlli: connettete, usate, disconnettete e confermate che l’host è tornato alla connettività semplice. Quel giro di andata e ritorno è il test che dimostra che il blocco abbandonato è sparito e non è stato solo aggirato.

Infine, ripristinate ogni modifica diagnostica fatta lungo il percorso. Una pulizia riuscita rimuove una dipendenza abbandonata; non rimuove la protezione generale dell’host e non dovrebbe lasciare dietro di sé un firewall permanentemente allentato. Annotate quale proprietario teneva il blocco, perché la prossima disinstallazione produrrà gli stessi tre candidati.