インターネットのアイコンは誤りなのにVPNは動く？三つの確認

通知領域はインターネットなしを示し、業務アプリは動き続け、誰かがアイコンが正しく振る舞うまでVPNプロファイルを変えようとしている。三つの異なる観測が一つにまとめられており、そのうちトンネルに関わるものは一つだけだ。切り分ければ、アイコンの問題が不要なプロファイル変更に変わることはない。

まず観測に名前を付け、それから本当に直すべきものがあるかを決める。

三つの観測、三つの問い

Windowsの接続状態インジケーターは、システムの検出プロセスが現在のネットワークプロファイルに対して何を確定したかを示す。VPNクライアントの状態は、そのクライアントが確立済みのピアセッションを報告しているかを示す。新しいアプリ操作は、一つの要求が実際に通った経路で成功したかを示す。どれも正当な結果であり、どれも他の代わりにはならない。これらをまとめると、誤った層に向けた修理になる。

典型的な混同は、最初のものを残り二つの要約とみなすことだ。マシンはプライベートリソースが動く健全なトンネルを持ちながら、インターネットなしと分類されることがあるのは、分類がサービスに届かなかった検査から来るからだ。

Get-NetConnectionProfile
Get-DnsClientServerAddress -AddressFamily IPv4
Test-NetConnection -ComputerName internal.example -Port 443

何かに触る前に、三つの結果を時刻とともに書き留める。こうした報告の多くはその時点で片付くのは、書き出せば不一致が明白になるからだ。

分類プロセスが実際にしていること

MicrosoftのNCSIの概要は、設定された検査サービスへのHTTP要求による能動的な検査と、ネットワークトラフィックの受動的な観測を組み合わせていると説明する。期待した応答が得られない原因は、経路、プロキシ、その経路上の別の環境条件でありうる。一般的な到達性テストより具体的で、人が思うより狭い。この狭さこそが不一致が現れる理由そのものだ。

暗号化やリゾルバーのプライバシー、アプリが許可されているかは一切監査しない。肯定的な分類はすべてのアプリがトンネルを使うことを証明せず、否定的な分類はトンネルが落ちていることを証明しない。

逆の混同も同じくらい多い。トンネルが確立していても、それが作られたアプリに使える経路、動くリゾルバー、権限がないことがある。クライアントのインジケーターは、必要な結果より古く狭い結果を報告する。

不一致そのものが直すべきものを教える

プライベートアクセスは動くのにシステムがインターネットなしと言う：壊れているのはトンネルではなく検査の経路だ。インターフェースと時刻を記録し、ネットワークの担当者に検査がサービスへどう届くか、ポリシーが妨げていないかを見てもらう。動いているプライベートアクセスのプロファイルを広いインターネット経路に置き換えるのは、アイコンを変え、頼んでいないアクセスを広げることになる。

トンネルは接続を報告するのに必要なサービスへの新しい要求が失敗する：それは実際の障害であり、アイコンを誤報と呼ぶと見落とす。アプリのエラー、プロファイルの想定範囲、使用中のリゾルバー、選択された経路を比較する。プライベート専用のトンネルは公共のインターネット出口を提供するようには設計されておらず、それを期待するのは欠陥ではなく範囲の誤りだ。

記録を残し、一本の経路だけ変える

今朝から開いたままのページではなく、該当アプリで新しく操作する。必要なブロックは有効なままにし、許された直接比較はルートを手で書き換えるのではなく、クライアントの文書化された操作で行う。

管理されたプロキシやファイアウォールが目的の検査を妨げているなら、その特定の経路を所有者とともに直す。Microsoftの指針は能動的な検査を無効化することを解決策として戒めており、ハードコードされたアドレス例外やレジストリ編集は、どのコンポーネントの答えが誤りかの説明にはならない。

変更後は三つの結果、すなわち分類、セッション状態、アプリの結果をすべてチケットに残す。アイコンだけが動いたなら、インジケーターが変わったと分かっただけで、データベースやサイトが今動くとは分かっていない。