VPN sistēmā Windows: saskaņojiet klientu ar profilu

Windows ziņo, ka tunelis ir savienots, kamēr iekštīkla lapa joprojām nokavējas, un profils nācis no cilvēka, kurš jau sen aizgājis. Aiz šī stāvokļa ir divas atsevišķas kļūdas: nepareizais klients failam un nepareizā gaidīšana par to, ko tunelis aptver. Lai tās atšķirtu, vajag dažas komandas, un tas ietaupa pārinstalēšanu. Nevienu no tām neizlabo restartēšana.

Iebūvētais klients importē tikai savus tipus

Windows piegādā VPN klientu, kas saprot noteiktus savienojuma tipus, un tas neimportēs OpenVPN failu vai WireGuard konfigurāciju neatkarīgi no faila nosaukuma. Tiem vajag savu programmatūru, kas instalēta no piegādātāja pārbaudītās lejupielādes lapas. Pazīstams ieraksts tīkla izvēlnē nav pierādījums, ka serveris to atbalsta, un profils, kas pārdēvēts ar pazīstamu paplašinājumu, joprojām ir nepareizais fails. Savienojuma tipam jāatbilst tam, ko nodeva operators, nevis tam, ko izvēlne nejauši piedāvā.

Lai pievienotu vietējo savienojumu, pievienojiet to tīkla iestatījumos un ierakstiet tieši tās vērtības, ko saņēmāt. Uz sertifikātu balstīts IKEv2 un pieteikšanās punkts ar lietotājvārdu un paroli ir dažādas konfigurācijas, pat ja abas nonāk zem viena virsraksta. Ja pārvaldīta ierīce jau nodrošina savienojumu, izmantojiet to, nevis būvējiet otru tam blakus.

Pieteikšanās soļi nav savstarpēji aizstājami

Savienojums var prasīt lietotājvārdu un paroli, klienta sertifikātu, interaktīvu uzvedni vai vairākas no tām pēc kārtas. Privātās atslēgas parole atslēdz atslēgu un nav pakalpojuma parole, pat ja abas ieraksta vienā dialoglodziņā. Sertifikāta brīdinājums attiecas uz identitāti vai uzticēšanos, nevis uz to, vai konta nosaukums ir uzrakstīts pareizi. Izlasīt, kura no trim neizdevās, nosaka nākamo soli.

Lasiet atteikumu, nevis atkārtojiet to. Autentifikācijas kļūda un uzticēšanās kļūda statusa logā izskatās līdzīgi un zem tām nav nekā kopīga: pirmajai vajag akreditācijas datus, otrajai – ķēdi, ko klients pieņem.

Turiet akreditācijas datus un sertifikātu materiālu ārpus ekrānuzņēmumiem. Iestatījumu lapas fotogrāfija var vienlaikus atklāt servera adresi un saglabātu lietotājvārdu, un atbalsta pavediens ir publisks dokuments biežāk, nekā cilvēki gaida. Aizklājiet pirms publicēšanas, nevis pēc tam, kad kāds to jau citējis.

PowerShell vidē Get-VpnConnection uzskaita to, ko Windows uzskata par konfigurētu, tostarp ierakstus, ko iestatījumu logs tur aiz acīm. No cmd komandrindas rasdial savienojas pēc savienojuma nosaukuma, un ipconfig /all rāda, ko adapters faktiski saņēma. Abas čaulas nedala vienu parsētāju, tāpēc ielīmējiet katru rindu pareizajā.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Izšķir maršrutēšanas tabula, nevis adaptera ikona

Uzņēmuma tunelis var maršrutēt tikai biroja galamērķus, atstājot parasto pārlūkošanu vietējā savienojumā, kamēr pilna tuneļa profils dara pretējo. Atveriet reālo resursu, pirms nolemjat, ka kāda no šīm uzvedībām ir nepareiza. Ikona ziņo par adaptera stāvokli, un atbilde ir maršrutēšanas tabulā. Šīs divas biežāk nesakrīt, nekā atzīst statusa logs.

Konkrētāki ieraksti var nosūtīt apakštīklu tunelī, kamēr noklusējuma maršruts paliek ārpus tā, un tieši tā jāizskatās sadalītam tunelim. Trūkstošs ieraksts ir otrs izplatītais iznākums, un no pārlūka tas izskatās identiski sabrukušam tunelim. Salīdziniet prefiksu, kuru nevarat sasniegt, ar tabulu, nevis ar ikonu. Tāpēc ikona un tabula var nesakrist, kamēr abas saka patiesību par dažādām lietām.

Nedzēsiet maršrutus tikai tāpēc, ka tabulā ir adapteri, kurus neatpazīstat. Virtuālā mašīna, filtra draiveris vai otrs klients var katrs pievienot vienu, un tā noņemšana salauž kaut ko, kas iepriekš strādāja.

route print -4
nslookup intranet.corp.internal

Privātiem nosaukumiem vajag organizācijas risinātāju

Privātiem nosaukumiem vajag organizācijas risinātāju, un pārlūks ar savu drošo DNS var pilnībā apiet sistēmas iestatījumu. Tas rada mulsinošo gadījumu, kad komandrindas vaicājums atgriež adresi, bet tas pats nosaukums pārlūkā joprojām neizdodas.

Pirms kaut ko mainīt, pārbaudiet, kurš adapters piegādāja pašreizējo DNS konfigurāciju. Saglabājiet organizācijas risinātāju privātiem nosaukumiem, nevis aizstājiet to ar publisku pakalpojumu. Aizstāšana ar publisku risinātāju parasti izlabo publisku nosaukumu un salauž visus iekšējos, kas ir sliktāka kļūda nekā sākotnējā. Ja savienojums ziņo par panākumiem un nekas nedarbojas, pārskatiet pāradresāciju un DNS, pirms atiestatīt tīkla steku.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Microsoft dokumentācija par Windows VPN savienojuma tipiem un spraudņiem ir atsauce uz to, kurš klients apstrādā kuru tipu, un neviens izvēlnes apzīmējums to nepaskaidro. Pēc katras izmaiņas savienojieties no jauna un mēģiniet īsto lietojumprogrammu, nevis statusa ikonu. Saglabājiet strādājošo profilu tur, kur to atkal atradīsiet, un pierakstiet risinātāju un maršrutu, kas to iedarbināja, jo nākamajai mašīnai vajadzēs abus.