Windows VPN：保存済みプロファイルと有効なインターフェース状態の比較

Windows の VPN は異なる問いに答える二つの場所に現れ、それを混同すると自信に満ちた誤診になります。保存済みプロファイルは誰かが何を設定したかを示し、有効なインターフェースはスタックが今適用した内容を示します。接続が確立してもトラフィックが誤った経路を通るときは、両方のビューをこの順序で読む必要があります。どちらか一方だけでは、アプリケーションのパケットがトンネルを出たかどうかは分かりません。

同じトンネルの二つのビュー

プロファイルのビューは設定です：サーバーアドレス、トンネルの種類、認証方式、分割トンネルの設定が含まれます。再接続するクライアントは編集内容を読み直さないかもしれないため、接続がそれを無視していても正しいことがあり、接続が完璧に動作していても古いことがあります。インターフェースのビューは適用された状態です：どのアダプターが存在し、どのアドレスファミリを運び、メトリックと接続状態がどうなっているかを示します。トンネルの出入りに応じて変化するため、生きたルーティングの問いには適切な場所、設定の問いには不適切な場所になります。

両方を一緒に読むことが方法のすべてであり、片方だけを読むことが正常なアダプターを削除してしまう道です。以下のコマンドは何も変更せずに両方のビューを生成します。

何も変更せずに両方のビューを読む

確認するのに最も安価な事実である保存済みプロファイルから始めてください。どちらも、どの宛先がそもそもトンネルに入るべきかを決めるため、トンネルの種類と分割トンネルの値に注意してください。インターフェース一覧は誤ったゲートウェイを指すプロファイルを修復しないため、プロファイルが誤っている場合はサポートされた設定画面で修正してください。

Get-VpnConnection | Select-Object Name,ServerAddress,TunnelType,SplitTunneling,ConnectionStatus

インターフェースのビューは形が異なります：両方のアドレスファミリを運ぶとき、一つのトンネルが二行を占めることがあります。インデックスを同一性として、エイリアスを誰かが選んだラベルとして読み、エイリアスがクライアントのバージョン間で変わることを想定してください。

Get-NetIPInterface | Select-Object InterfaceIndex,InterfaceAlias,AddressFamily,ConnectionState,InterfaceMetric

インターフェースが存在し接続されていても宛先へのルートが選ぶものとは限らないため、存在は使用の証拠ではありません。未知のアダプターを原因とみなす前に、それを心に留めておいてください。この二つの障害は外から見ると同一です：決して使わないルートを持つ正しいプロファイルと、実際に使うルートを持つ誤ったプロファイルです。修正方法はまったく異なるため、次の節が存在します。

宛先までのルートをたどる

アプリケーションが実際に接続するアドレスに対して、スタックがどの経路を取るかを尋ねてください。それがインターフェース一覧だけでは答えられない問いです。

Find-NetRoute -RemoteIPAddress 10.60.20.10 | Select-Object -First 1
Get-NetIPAddress -InterfaceIndex 37 | Select-Object IPAddress,AddressFamily,PrefixLength

最初のコマンドは読む価値のある二つのフィールドを報告します：選択された送信元のインターフェースエイリアスと、その宛先へのネクストホップです。二番目のコマンドのインデックス 37 は最初の出力が印字した値であり、コピーする定数ではなく、アドレス 10.60.20.10 は例示です。VPN インターフェースは完全に正常で単に優先されていないだけかもしれないため、選択された送信元が物理アダプターに属するのに宛先がトンネル内にあるべき場合は、選択の問題を見つけたことになります。ルートの特異性、ポリシー、インターフェースの状態がすべて関与するため、メトリックはその判断の一部にすぎません。

同じ条件で三つの状態を比較する

接続前、接続中、切断後に、同じ宛先と同じコマンドを使ってインターフェース一覧と選択されたルートを記録してください。その比較は、現在のトンネルインターフェースを、アンインストールが残した古い隠れたアダプターや、同時に動作している二つ目のクライアントから切り分けます。また、切断後に残るアダプターは決して現れなかったものとは別の問題であるため、トンネルインターフェースがきれいに消えるかどうかも分かります。三つのスナップショットがなければ、未知のエイリアスはすべて犯人に見えます。

二つのコマンド出力は一段落の説明に勝るため、三つの出力をチケットと一緒に保管してください。同僚はあなたのセッションをまったく繰り返さずに比較できます。

特定していないものを削除しない

未知のアダプターは通常、何かに属しています：管理されたクライアント、仮想スイッチ、コンテナネットワーク、セキュリティエージェントです。一つを削除すると動作しているコンポーネントを失い、元の症状はまったく同じ場所に残ります。ルートが古い場合はルートの所有者を見つけてそこで修正し、プロファイルが誤っている場合はプロファイルを編集してください。Get-NetIPInterface のドキュメントには上記で使ったフィールドが載っており、比較を意味あるものにするメトリックと状態の列も含まれます。

オブジェクトに名前を付け、所有者を見つけ、その所有者に対して行動してください。それ以外は問題を読むのではなく名前を変えているだけです。