VPN su Windows: abbinate il client al profilo

Windows segnala il tunnel come connesso mentre la pagina della intranet va ancora in timeout, e il profilo arriva da qualcuno che se n’è già andato. Dietro quello stato ci sono due errori distinti: il client sbagliato per il file e l’aspettativa sbagliata su cosa copre il tunnel. Distinguerli richiede qualche comando e risparmia una reinstallazione. Nessuno dei due si risolve riavviando.

Il client integrato importa solo i propri tipi

Windows include un client VPN che comprende tipi di connessione specifici, e non importerà un file OpenVPN né una configurazione WireGuard, qualunque sia il nome del file. Quelli richiedono il proprio software, installato dalla pagina di download verificata del fornitore. Una voce familiare nel menu di rete non è prova che il server la supporti, e un profilo rinominato con un’estensione familiare resta il file sbagliato. Il tipo di connessione deve corrispondere a ciò che ha fornito l’operatore, non a ciò che il menu offre per caso.

Per una connessione nativa, aggiungetela dalle impostazioni di rete e digitate esattamente i valori ricevuti. Un IKEv2 basato su certificato e un punto di ingresso con nome utente e password sono configurazioni diverse anche quando entrambe finiscono sotto la stessa intestazione. Se un dispositivo gestito fornisce già una connessione, usate quella invece di costruirne una seconda accanto.

I passaggi di accesso non sono intercambiabili

Una connessione può richiedere un nome utente e una password, un certificato client, un prompt interattivo o più di questi in sequenza. La passphrase di una chiave privata sblocca una chiave e non è la password del servizio, anche quando entrambe vengono digitate nella stessa finestra. Un avviso di certificato riguarda identità o fiducia, non se il nome dell’account è scritto correttamente. Leggere quale dei tre ha fallito decide il passo successivo.

Leggete il rifiuto invece di ripeterlo. Un errore di autenticazione e un errore di fiducia si somigliano in una finestra di stato e non hanno nulla in comune sotto: il primo ha bisogno di una credenziale, il secondo di una catena che il client accetti.

Tenete credenziali e materiale dei certificati fuori dagli screenshot. La foto di una pagina di impostazioni può esporre insieme un indirizzo di server e un nome utente salvato, e un thread di assistenza è un documento pubblico più spesso di quanto la gente pensi. Oscurate prima di pubblicare, non dopo che qualcuno l’ha già citato.

In PowerShell, Get-VpnConnection elenca ciò che Windows ritiene configurato, comprese voci che la finestra delle impostazioni tiene fuori vista. Da un prompt cmd, rasdial si connette per nome di connessione e ipconfig /all mostra cosa ha ricevuto davvero l’adattatore. Le due shell non condividono un parser, quindi incollate ogni riga in quella giusta.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Decide la tabella di routing, non l’icona dell’adattatore

Un tunnel aziendale può instradare solo le destinazioni dell’ufficio, lasciando la navigazione ordinaria sulla connessione locale, mentre un profilo a tunnel completo fa il contrario. Aprite la risorsa reale prima di decidere che uno dei due comportamenti sia sbagliato. L’icona riporta lo stato dell’adattatore, e la risposta vive nella tabella di routing. Queste due cose non concordano più spesso di quanto una finestra di stato ammetta.

Voci più specifiche possono mandare una sottorete nel tunnel mentre la rotta predefinita resta fuori, ed è esattamente così che deve apparire un tunnel diviso. Una voce mancante è l’altro esito comune, e dal browser sembra identica a un tunnel abbattuto. Confrontate il prefisso che non raggiungete con la tabella, non con l’icona. Ecco perché icona e tabella possono discordare mentre entrambe dicono la verità su cose diverse.

Non cancellate rotte perché la tabella contiene adattatori che non riconoscete. Una macchina virtuale, un driver di filtro o un secondo client possono aggiungerne uno ciascuno, e rimuoverlo rompe qualcosa che prima funzionava.

route print -4
nslookup intranet.corp.internal

I nomi privati hanno bisogno del resolver dell’organizzazione

I nomi privati hanno bisogno del resolver dell’organizzazione, e un browser con un proprio DNS sicuro può aggirare del tutto l’impostazione di sistema. Questo produce il caso confuso in cui una ricerca da riga di comando restituisce un indirizzo e lo stesso nome fallisce ancora nel browser.

Controllate quale adattatore ha fornito la configurazione DNS attuale prima di cambiare qualcosa. Mantenete il resolver dell’organizzazione per i nomi privati invece di sostituirlo con un servizio pubblico. Sostituirlo con un resolver pubblico di solito ripara un nome pubblico e rompe ogni nome interno, che è un guasto peggiore di quello iniziale. Se la connessione segnala successo e nulla funziona, ripercorrete inoltro e DNS prima di reimpostare lo stack di rete.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

La documentazione Microsoft sui tipi di connessione VPN di Windows e sui plug-in è il riferimento per sapere quale client gestisce quale tipo, e nessuna etichetta di menu ve lo dice. Riconnettetevi dopo ogni modifica e riprovate l’applicazione reale invece dell’icona di stato. Salvate il profilo funzionante dove potete ritrovarlo e annotate il resolver e la rotta che l’hanno fatto funzionare, perché la macchina successiva avrà bisogno di entrambi.