Windows의 VPN: 클라이언트를 프로필에 맞추기

Windows는 터널이 연결되었다고 보고하지만 인트라넷 페이지는 여전히 시간 초과가 나고, 프로필은 이미 떠난 사람에게서 온 것입니다. 그 상태 뒤에는 두 가지 별개의 실수, 즉 파일에 맞지 않는 클라이언트와 터널이 무엇을 덮는지에 대한 잘못된 기대가 있습니다. 이 둘을 구분하는 데는 명령 몇 개면 충분하고 재설치를 아낄 수 있습니다. 어느 쪽도 재부팅으로 해결되지 않습니다.

내장 클라이언트는 자기 종류만 가져온다

Windows에는 특정 연결 유형을 이해하는 VPN 클라이언트가 들어 있지만, 파일 이름이 무엇이든 OpenVPN 파일이나 WireGuard 구성을 가져오지는 않습니다. 그런 파일에는 별도 소프트웨어가 필요하며, 공급업체의 검증된 다운로드 페이지에서 설치해야 합니다. 네트워크 메뉴에 익숙한 항목이 있다고 해서 서버가 그것을 지원한다는 증거는 아니며, 익숙한 확장자로 이름을 바꾼 프로필도 여전히 잘못된 파일입니다. 연결 유형은 메뉴가 우연히 제공하는 것이 아니라 운영자가 준 것과 맞아야 합니다.

기본 연결이라면 네트워크 설정에서 추가하고 받은 값을 정확히 입력하세요. 인증서 기반 IKEv2와 사용자 이름·암호 입력 지점은 같은 제목 아래에 있어도 서로 다른 구성입니다. 관리되는 장치가 이미 연결을 제공한다면 그 옆에 두 번째를 만들지 말고 그것을 사용하세요.

로그인 단계는 서로 바꿀 수 없다

연결은 사용자 이름과 암호, 클라이언트 인증서, 대화형 프롬프트 또는 이들 중 여러 개를 순서대로 요구할 수 있습니다. 개인 키 암호는 키를 잠금 해제하는 것이며 같은 대화 상자에 입력하더라도 서비스 암호가 아닙니다. 인증서 경고는 신원이나 신뢰에 관한 것이지 계정 이름의 철자가 맞는지에 관한 것이 아닙니다. 세 가지 중 무엇이 실패했는지 읽는 것이 다음 단계를 결정합니다.

다시 시도하지 말고 거부 내용을 읽으세요. 인증 실패와 신뢰 실패는 상태 창에서 비슷해 보이지만 그 아래는 전혀 다르며, 전자는 자격 증명이, 후자는 클라이언트가 받아들이는 체인이 필요합니다.

자격 증명과 인증서 자료를 스크린샷에 남기지 마세요. 설정 페이지 사진 한 장이 서버 주소와 저장된 사용자 이름을 한꺼번에 노출할 수 있고, 지원 스레드는 사람들이 생각하는 것보다 자주 공개 문서가 됩니다. 누군가 인용한 뒤가 아니라 게시하기 전에 가리세요.

PowerShell에서 Get-VpnConnection은 Windows가 구성되었다고 보는 항목을 나열하며, 설정 창이 화면에 보이지 않게 두는 항목도 포함합니다. cmd 프롬프트에서 rasdial은 연결 이름으로 연결하고 ipconfig /all는 어댑터가 실제로 받은 것을 보여 줍니다. 두 셸은 같은 파서를 공유하지 않으므로 각 줄을 올바른 쪽에 붙여 넣으세요.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

결정하는 것은 라우팅 테이블이지 어댑터 아이콘이 아니다

기업 터널은 사무실 목적지만 라우팅하고 일반 브라우징은 로컬 연결에 남길 수 있으며, 전체 터널 프로필은 그 반대입니다. 어느 동작이 잘못되었다고 판단하기 전에 실제 리소스를 열어 보세요. 아이콘은 어댑터 상태를 보고하고, 답은 라우팅 테이블에 있습니다. 이 둘은 상태 창이 인정하는 것보다 자주 어긋납니다.

더 구체적인 항목은 기본 경로를 밖에 두고 서브넷을 터널로 보낼 수 있으며, 분할 터널은 바로 그렇게 보여야 합니다. 항목이 빠지는 것도 흔한 결과이고, 브라우저에서는 끊긴 터널과 똑같이 보입니다. 도달할 수 없는 접두사는 아이콘이 아니라 테이블과 비교하세요. 아이콘과 테이블이 어긋나면서도 둘 다 서로 다른 것에 대해 사실을 말하는 이유입니다.

테이블에 모르는 어댑터가 있다고 경로를 삭제하지 마세요. 가상 머신, 필터 드라이버, 두 번째 클라이언트가 각각 하나씩 추가할 수 있고, 삭제하면 이전에 작동하던 것이 깨집니다.

route print -4
nslookup intranet.corp.internal

사설 이름에는 조직의 확인자가 필요하다

사설 이름에는 조직의 확인자가 필요하며, 자체 보안 DNS를 가진 브라우저는 시스템 설정을 완전히 우회할 수 있습니다. 그러면 명령줄 조회는 주소를 반환하는데 같은 이름이 브라우저에서는 여전히 실패하는 혼란스러운 상황이 생깁니다.

무엇이든 바꾸기 전에 현재 DNS 구성을 어느 어댑터가 제공했는지 확인하세요. 사설 이름에는 조직의 확인자를 유지하고 공용 서비스로 대체하지 마세요. 공용 확인자로 바꾸면 보통 공용 이름은 고쳐지고 모든 내부 이름이 깨지는데, 이는 처음 문제보다 나쁜 실패입니다. 연결이 성공을 보고하는데 아무것도 되지 않으면 네트워크 스택을 초기화하기 전에 전달과 DNS를 차례로 확인하세요.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Windows VPN 연결 유형과 플러그인에 관한 Microsoft 문서가 어떤 클라이언트가 어떤 유형을 처리하는지에 대한 참고 자료이며, 메뉴의 어떤 레이블도 그것을 알려 주지 않습니다. 변경할 때마다 다시 연결하고 상태 아이콘 대신 실제 응용 프로그램을 다시 시도하세요. 작동하는 프로필은 다시 찾을 수 있는 곳에 저장하고, 다음 컴퓨터에도 둘 다 필요하므로 작동하게 만든 확인자와 경로를 기록하세요.