Handtrykk ja, internett nei: hva du bør rette først på Windows 11

På Windows 11 står ferske handtrykk ofte ved siden av nettlesere som ikke åpner noe. Handtrykket beviser bare at UDP-utvekslingen med peer-en ble fullført. Det sier ingenting om ruten Windows la inn, resolveren den bruker, eller om utgangen i det hele tatt videresender noe.

Fire forhold avgjør hvilket av disse lagene som feilet. Å gå gjennom dem i rekkefølge tar minutter, mens å skrive nøklene på nytt tar lengre tid og endrer ingenting.

Avgjør laget før du rører nøklene

Gå gjennom tre destinasjoner, i denne rekkefølgen. Start med en adresse på tunnelsiden, deretter en offentlig IP som tall, og avslutt med et vertsnavn. Der kjeden brytes, navngis laget. En feil i første trinn er ruting, i andre er det videresending eller NAT, og i tredje er det navneoppslag.

Den rekkefølgen er hele metoden. Den hindrer at en DNS-feil blir diagnostisert som en brutt tunnel, som er det vanligste feilsporet her.

wg show
Find-NetRoute -RemoteIPAddress 1.1.1.1
Resolve-DnsName example.com -Server 1.1.1.1

Hvis handtrykk-tiden er tom

Når handtrykk-tiden er tom, ble den krypterte utvekslingen aldri fullført. Feilen ligger derfor tidligere enn ruting. Se først på endepunktadressen og porten, deretter på om nettverket filtrerer UDP. En leverandør som slipper WireGuard-trafikk gir nøyaktig dette, og det samme gjør en klient som kopierte et endepunkt fra en gammel profil.

Bytes som går ut uten at noen kommer inn, er et annet tilfelle. Det peker på NAT eller en brannmur som sender trafikken tilbake til feil sted.

Hvis ruten taper mot den fysiske adapteren

For en full tunnel må peer-delen dekke destinasjonene du forventer å bruke. Windows beholder noen ganger den fysiske adapterens standardrute selv når en altomfattende regel er satt. Å dele den altomfattende regelen i 0.0.0.0/1 pluss 128.0.0.0/1 lager to mer spesifikke prefikser som vinner oppslaget. Delingen er en dokumentert omvei, ikke en preferanse.

Bekreft med route print eller et oppslag på en offentlig adresse. Grensesnittet som velges bør være tunneladapteren. Hvis den fysiske fortsatt vinner, rett peer-områdene før du rører serveren.

Hvis adresser virker og navn feiler

WireGuard bærer IP-pakker og har ingen mening om DNS. Sett en linje DNS = i grensesnittdelen, eller sett adapteren via Windows. Uten den lykkes et ping på adresse mens hvert vertsnavn feiler, og brukere rapporterer det som ingen internett.

Sjekk hvilke servere Windows faktisk bruker etter tilkobling. En gjenværende resolver på den fysiske adapteren forklarer en delvis feil, der noen navn slår opp og andre ikke. Rydd den opp i stedet for å legge en ny oppå.

Hvis Windows-maskinen er utgangen

Internet Connection Sharing skriver om adresseringen når det er slått på, noe som kan flytte den delte adapteren til et annet område. En klient som fortsatt peker på den opprinnelige adressen slutter da å virke. Registerverdiene ScopeAddress og StandaloneDHCPAddress styrer det området, og innstillingen kan falle tilbake etter en omstart.

To andre Windows-spesifikke konflikter er verdt en titt. Tjenesten Routing and Remote Access kan forstyrre tunnelen. En installasjonspakke bygget for feil arkitektur feiler med en melding som aldri nevner arkitektur.

Rett laget testen pekte på, og kjør deretter de samme tre destinasjonene på nytt. En endring som reparerer vertsnavntesten men ødelegger tunneladressen, ble brukt på feil lag.