VPN op Windows: stem de client af op het profiel

Windows meldt de tunnel als verbonden terwijl de intranetpagina nog steeds een time-out geeft, en het profiel kwam van iemand die inmiddels weg is. Achter die toestand zitten twee aparte fouten: de verkeerde client voor het bestand en de verkeerde verwachting over wat de tunnel dekt. Ze onderscheiden kost een paar opdrachten en bespaart een herinstallatie. Geen van beide wordt met een herstart opgelost.

De ingebouwde client importeert alleen zijn eigen typen

Windows levert een VPN-client die bepaalde verbindingstypen begrijpt, en hij importeert geen OpenVPN-bestand of WireGuard-configuratie, hoe het bestand ook heet. Die hebben hun eigen software nodig, geïnstalleerd vanaf de geverifieerde downloadpagina van de leverancier. Een bekende vermelding in het netwerkmenu is geen bewijs dat de server die ondersteunt, en een profiel dat met een bekende extensie is hernoemd blijft het verkeerde bestand. Het verbindingstype moet overeenkomen met wat de operator heeft geleverd, niet met wat het menu toevallig biedt.

Voor een native verbinding voegt u die toe via de netwerkinstellingen en typt u precies de waarden die u hebt gekregen. Op certificaat gebaseerde IKEv2 en een toegangspunt met gebruikersnaam en wachtwoord zijn verschillende configuraties, ook wanneer beide onder dezelfde kop terechtkomen. Als een beheerd apparaat al een verbinding levert, gebruik die dan in plaats van ernaast een tweede te bouwen.

Aanmeldstappen zijn niet uitwisselbaar

Een verbinding kan een gebruikersnaam en wachtwoord, een clientcertificaat, een interactieve prompt of meerdere daarvan achter elkaar vereisen. Een wachtwoordzin voor een privésleutel ontgrendelt een sleutel en is niet het wachtwoord van de dienst, zelfs wanneer beide in dezelfde dialoog worden getypt. Een certificaatwaarschuwing gaat over identiteit of vertrouwen, niet over de vraag of de accountnaam goed is gespeld. Lezen welke van de drie is mislukt bepaalt de volgende stap.

Lees de afwijzing in plaats van hem te herhalen. Een authenticatiefout en een vertrouwensfout lijken op elkaar in een statusvenster en hebben niets gemeen eronder: de eerste heeft een inloggegeven nodig, de tweede een keten die de client accepteert.

Houd inloggegevens en certificaatmateriaal buiten schermafbeeldingen. Een foto van een instellingenpagina kan in één keer een serveradres en een opgeslagen gebruikersnaam blootleggen, en een supportthread is vaker een openbaar document dan mensen verwachten. Verberg het voordat u plaatst, niet nadat iemand het al heeft geciteerd.

In PowerShell somt Get-VpnConnection op wat Windows als geconfigureerd beschouwt, inclusief vermeldingen die het instellingenvenster buiten het zicht houdt. Vanuit een cmd-prompt maakt rasdial verbinding op verbindingsnaam en ipconfig /all toont wat de adapter werkelijk heeft ontvangen. De twee shells delen geen parser, dus plak elke regel in de juiste.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

De routetabel beslist, niet het adapterpictogram

Een bedrijfstunnel kan alleen kantoordoelen routeren en gewoon browsen op de lokale verbinding laten, terwijl een full-tunnelprofiel het omgekeerde doet. Open de werkelijke resource voordat u besluit dat een van beide gedragingen onjuist is. Het pictogram meldt de adapterstatus, en het antwoord staat in de routetabel. Die twee zijn het vaker oneens dan een statusvenster toegeeft.

Specifiekere vermeldingen kunnen een subnet de tunnel in sturen terwijl de standaardroute erbuiten blijft, en precies zo hoort een split-tunnel eruit te zien. Een ontbrekende vermelding is de andere veelvoorkomende uitkomst, en vanuit de browser ziet die er identiek uit aan een tunnel die plat ligt. Vergelijk het prefix dat u niet bereikt met de tabel in plaats van met het pictogram. Daarom kunnen het pictogram en de tabel van mening verschillen terwijl beide de waarheid vertellen over verschillende dingen.

Verwijder geen routes omdat de tabel adapters bevat die u niet herkent. Een virtuele machine, een filterstuurprogramma of een tweede client kan er elk één toevoegen, en het weghalen breekt iets dat eerder werkte.

route print -4
nslookup intranet.corp.internal

Privénamen hebben de resolver van de organisatie nodig

Privénamen hebben de resolver van de organisatie nodig, en een browser met zijn eigen veilige DNS kan de systeeminstelling volledig omzeilen. Dat levert het verwarrende geval op waarin een opdrachtregelquery een adres teruggeeft en dezelfde naam in de browser nog steeds faalt.

Controleer welke adapter de huidige DNS-configuratie heeft geleverd voordat u iets wijzigt. Houd de resolver van de organisatie voor privénamen in plaats van die te vervangen door een openbare dienst. Vervangen door een openbare resolver repareert meestal een openbare naam en breekt elke interne, wat een ergere fout is dan degene waarmee u begon. Als de verbinding succes meldt en niets werkt, loop dan doorsturen en DNS na voordat u de netwerkstack reset.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

De documentatie van Microsoft over Windows VPN-verbindingstypen en plug-ins is de referentie voor welke client welk type afhandelt, en geen enkel menulabel vertelt u dat. Maak opnieuw verbinding na elke wijziging en probeer de echte toepassing in plaats van het statuspictogram. Bewaar het werkende profiel waar u het terugvindt, en noteer de resolver en de route die het aan de praat kregen, want de volgende machine heeft beide nodig.