Un ripristino di rete di Windows cancella più del guasto VPN

Il consiglio arriva entro dieci minuti da ogni reclamo VPN su Windows: esegui il ripristino di rete, risolve tutto. Non è vero, e non è mirato. Quel pulsante svuota gli adattatori, ricollega i protocolli, rimuove indirizzi statici e route predefinite, scarta voci di firewall e filtri e, per giunta, dimentica i profili Wi-Fi. Su una macchina con un tunnel funzionante ma mal configurato, trasforma un guasto diagnosticabile in una ricostruzione non documentata. Salva prima cinque cose e conservi la possibilità di annullare.

Il ripristino non è limitato al profilo VPN

Una connessione VPN è un oggetto tra i tanti che condividono lo stack di rete. Rimuovere e riaggiungere un adattatore cambia l'indice dell'interfaccia, e qualunque cosa facesse riferimento a quell'indice, da una route a una regola del firewall a un driver di filtro di terze parti, ora fa riferimento a qualcosa che non esiste più.

La virtualizzazione peggiora le cose. Gli switch Hyper-V, i bridge VMware, le reti dei container e i client VPN con adattatori virtuali propri vivono tutti nello stesso spazio. Un ripristino che reinstalla lo stack di base può lasciare quei componenti a metà, e la macchina risultante dichiara hardware funzionante senza un percorso funzionante.

Niente di tutto ciò è un argomento contro il ripristino in sé. È un argomento contro il ripristino come prima mossa, su una macchina che non hai documentato, quando il guasto reale potrebbe essere una voce di route o un filtro obsoleto. Un ripristino è uno strumento ampio con un tasso di successo stretto, e usarlo come apertura garantisce che non saprai mai quale delle due cose era.

Salva le prove prima di salvare le impostazioni

Il guasto stesso è un dato. Annota il codice di errore esatto, l'ora, quale profilo era selezionato e se il gateway ha registrato un tentativo. Un codice che dice che il tunnel non ha mai ricevuto risposta e un codice che dice che l'autenticazione è fallita indicano riparazioni completamente diverse. Dopo un ripristino potresti non riuscire a riprodurre né l'uno né l'altro. Tratta lo stato guasto come un bene che stai per spendere.

Cattura lo stato finché è ancora guasto, in una cartella fuori dalle directory temporanee della macchina:

mkdir C:\vpn-evidence
ipconfig /all > C:\vpn-evidence\ipconfig.txt
route print > C:\vpn-evidence\routes.txt
Get-VpnConnection -AllUserConnection | Export-Csv C:\vpn-evidence\profiles.csv -NoTypeInformation
netsh wfp show state file=C:\vpn-evidence\wfp.xml

L'ultimo comando è quello che la gente omette, ed è spesso quello che spiega il guasto. I filtri rimasti di un client rimosso sopravvivono come criterio persistente, e il file XML esportato è l'unica registrazione locale che ne resta. Leggilo prima che un ripristino cancelli ciò che stavi cercando di identificare.

Salva la configurazione che non tornerà

Alcune impostazioni vengono ricreate automaticamente. Gli indirizzi statici, le route personalizzate, i suffissi DNS, le eccezioni del proxy e le regole del firewall no. Nemmeno i profili stessi, che vivono in un file di rubrica telefonica che il ripristino non ti ripristina.

Get-NetIPConfiguration | Out-File C:\vpn-evidence\netip.txt
Get-NetRoute -AddressFamily IPv4 | Export-Csv C:\vpn-evidence\netroutes.csv -NoTypeInformation
Get-DnsClientServerAddress | Export-Csv C:\vpn-evidence\dns.csv -NoTypeInformation
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject,Thumbprint,NotAfter

L'elenco dei certificati conta più di quanto sembri. I certificati client non vengono distrutti da un ripristino di rete, ma l'elenco ti dice da quali dipendeva il profilo e se qualcuno scade a breve. Scoprire un certificato scaduto dopo una ricostruzione spreca la ricostruzione.

Scrivi il percorso di ripristino prima di iniziare

Se la macchina è remota e la VPN è il tuo unico accesso, il ripristino può chiudere la sessione e potresti non avere modo di rientrare senza qualcuno sul posto. Conferma che esista un accesso fuori banda, o che ci sia una persona disponibile, prima di eseguire qualsiasi cosa che tocchi gli adattatori.

Conserva gli installer e i dettagli di connessione dove la macchina può ancora raggiungerli in seguito. Un client che va reinstallato da un portale del fornitore raggiungibile attraverso il tunnel è una dipendenza circolare, ed è il modo più comune in cui questa procedura diventa un'interruzione del servizio.

Poi annota cosa stai facendo e perché, compresi i comandi esatti. La persona successiva deve sapere se il ripristino è stato un esperimento o una decisione, e “abbiamo provato di tutto” non è una registrazione.

Verifica a strati dopo il ripristino

Ripristinare troppo in una volta rende il risultato illeggibile. Lavora dal basso: adattatore e indirizzo, poi risoluzione dei nomi, poi la fase di identità del tunnel, poi l'applicazione. Ogni strato ha un comando che risponde alla propria domanda:

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceDescription
Resolve-DnsName intranet.example.internal
Get-VpnConnection -Name 'Corp' | Select-Object ConnectionStatus,TunnelType
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Se lo strato dell'adattatore è sano e la risoluzione no, fermati e correggi la risoluzione. Reinstallare il client VPN a quel punto aggiunge una variabile e toglie un indizio. Ripristina solo le impostazioni che sai spiegare, una alla volta, controllando lo stesso strato dopo ciascuna.

Le stesse indicazioni di Microsoft per la risoluzione dei problemi sull'errore 720, per esempio, distinguono i problemi di binding da quelli di assegnazione degli indirizzi invece di prescrivere un ripristino generalizzato, che è l'istinto giusto per ogni codice di questa famiglia. Leggi che cosa afferma il codice prima di ricorrere allo strumento più ampio disponibile.