VPN sistemoje „Windows“: priderinkite klientą prie profilio

„Windows“ praneša, kad tunelis prijungtas, nors intraneto puslapis vis dar baigiasi pagal laiką, o profilis gautas iš žmogaus, kuris jau seniai išėjo. Už šios būsenos slypi dvi atskiros klaidos: netinkamas failo klientas ir neteisingas lūkestis, ką tunelis apima. Jas atskirti kainuoja kelias komandas ir sutaupo perdiegimą. Nei vienos nepataiso perkrovimas.

Įtaisytas klientas importuoja tik savo tipus

„Windows“ pateikia VPN klientą, kuris supranta tam tikrus ryšio tipus, ir jis neimportuos OpenVPN failo ar „WireGuard“ konfigūracijos, kad ir kaip failas būtų pavadintas. Jiems reikia savo programinės įrangos, įdiegtos iš tiekėjo patvirtinto atsisiuntimo puslapio. Pažįstamas įrašas tinklo meniu nėra įrodymas, kad serveris jį palaiko, o pažįstamu plėtiniu pervadintas profilis vis tiek yra netinkamas failas. Ryšio tipas turi atitikti tai, ką pateikė operatorius, o ne tai, ką meniu atsitiktinai siūlo.

Norėdami įtraukti savąjį ryšį, pridėkite jį per tinklo nustatymus ir įveskite tiksliai tas reikšmes, kurias gavote. Certifikatu pagrįstas IKEv2 ir prisijungimo taškas su vardu bei slaptažodžiu yra skirtingos konfigūracijos, net kai abi atsiduria po ta pačia antrašte. Jei valdomas įrenginys jau teikia ryšį, naudokite jį, o ne statykite antrą šalia.

Prisijungimo žingsniai nėra pakeičiami

Ryšys gali reikalauti vartotojo vardo ir slaptažodžio, kliento certifikato, interaktyvaus raginimo arba kelių iš jų iš eilės. Privataus rakto slaptažodis atrakina raktą ir nėra paslaugos slaptažodis, net kai abu įvedami tame pačiame dialoge. Certifikato įspėjimas susijęs su tapatybe ar pasitikėjimu, o ne su tuo, ar paskyros vardas parašytas teisingai. Perskaičius, kuri iš trijų nepavyko, nustatomas kitas žingsnis.

Skaitykite atmetimą, o ne kartokite jį. Autentifikavimo klaida ir pasitikėjimo klaida atrodo panašiai būsenos lange ir po apačia neturi nieko bendra: pirmajai reikia prisijungimo duomenų, antrajai – grandinės, kurią klientas priima.

Laikykite prisijungimo duomenis ir certifikatų medžiagą toliau nuo ekrano kopijų. Nustatymų puslapio nuotrauka gali vienu metu atskleisti serverio adresą ir išsaugotą vartotojo vardą, o pagalbos gija yra viešas dokumentas dažniau, nei žmonės tikisi. Užmaskuokite prieš skelbdami, o ne po to, kai kas nors jau pacitavo.

„PowerShell“ aplinkoje Get-VpnConnection išvardija, ką „Windows“ laiko sukonfigūruotu, įskaitant įrašus, kuriuos nustatymų langas laiko paslėptus. Iš cmd komandinės eilutės rasdial jungiasi pagal ryšio pavadinimą, o ipconfig /all rodo, ką adapteris iš tikrųjų gavo. Abi apvalkalai nesidalija analizatoriumi, todėl kiekvieną eilutę įklijuokite į tinkamą.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Sprendžia maršrutų lentelė, o ne adapterio piktograma

Įmonės tunelis gali maršrutizuoti tik biuro paskirties vietas, palikdamas įprastą naršymą vietiniame ryšyje, o viso tunelio profilis elgiasi priešingai. Atidarykite tikrąjį išteklių, prieš nuspręsdami, kad vienas iš šių elgesių yra neteisingas. Piktograma praneša apie adapterio būseną, o atsakymas yra maršrutų lentelėje. Šie du dažniau nesutaria, nei pripažįsta būsenos langas.

Konkretesni įrašai gali nusiųsti potinklį į tunelį, o numatytasis maršrutas lieka už jo, ir būtent taip turi atrodyti padalintas tunelis. Trūkstamas įrašas yra kitas dažnas rezultatas, ir iš naršyklės jis atrodo identiškai kaip sugedęs tunelis. Palyginkite priešdėlį, kurio nepasiekiate, su lentele, o ne su piktograma. Štai kodėl piktograma ir lentelė gali nesutarti, kai abi sako tiesą apie skirtingus dalykus.

Netrinkite maršrutų vien todėl, kad lentelėje yra adapterių, kurių neatpažįstate. Virtualioji mašina, filtro tvarkyklė ar antras klientas gali kiekvienas pridėti po vieną, o jį pašalinus sugenda tai, kas anksčiau veikė.

route print -4
nslookup intranet.corp.internal

Privatiems vardams reikia organizacijos resolverio

Privatiems vardams reikia organizacijos resolverio, o naršyklė su savo saugiu DNS gali visiškai apeiti sistemos nustatymą. Taip susidaro paini situacija, kai komandinės eilutės užklausa grąžina adresą, o tas pats vardas naršyklėje vis tiek nepavyksta.

Prieš ką nors keisdami patikrinkite, kuris adapteris pateikė dabartinę DNS konfigūraciją. Išsaugokite organizacijos resolverį privatiems vardams, o ne pakeiskite jį vieša paslauga. Pakeitimas viešu resolveriu paprastai pataiso viešą vardą ir sugadina visus vidinius, o tai blogesnė klaida nei pradinė. Jei ryšys praneša apie sėkmę, o niekas neveikia, peržiūrėkite persiuntimą ir DNS, prieš iš naujo nustatydami tinklo steką.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

„Microsoft“ dokumentacija apie „Windows“ VPN ryšio tipus ir papildinius yra nuoroda, kuris klientas apdoroja kurį tipą, ir jokia meniu etiketė to nepasako. Po kiekvieno pakeitimo prisijunkite iš naujo ir bandykite tikrąją programą, o ne būsenos piktogramą. Išsaugokite veikiantį profilį ten, kur vėl jį rasite, ir užsirašykite resolverį bei maršrutą, kurie jį paleido, nes kitam kompiuteriui prireiks abiejų.