Een netwerkreset in Windows wist meer dan alleen de VPN-storing

Het advies komt binnen tien minuten na elke Windows-VPN-klacht: voer de netwerkreset uit, het lost alles op. Dat doet het niet, en hij is niet smal. Die knop wist adapters, koppelt protocollen opnieuw, verwijdert statische adressen en standaardroutes, gooit firewall- en filtervermeldingen weg en vergeet voor de zekerheid ook Wi-Fi-profielen. Op een machine met een werkende maar verkeerd geconfigureerde tunnel verandert hij één diagnoseerbare storing in een ongedocumenteerde herbouw. Bewaar eerst vijf dingen, dan houd je de mogelijkheid om het ongedaan te maken.

De reset is niet beperkt tot het VPN-profiel

Een VPN-verbinding is één object onder vele die de netwerkstack delen. Een adapter verwijderen en opnieuw toevoegen verandert de interface-index, en alles wat naar die index verwees, van een route tot een firewallregel tot een filterstuurprogramma van derden, verwijst nu naar iets dat niet meer bestaat.

Virtualisatie maakt het erger. Hyper-V-switches, VMware-bruggen, containernetwerken en VPN-clients met hun eigen virtuele adapters leven allemaal in dezelfde ruimte. Een reset die de basisstack opnieuw installeert, kan die onderdelen half aanwezig achterlaten, en de resulterende machine meldt werkende hardware zonder werkend pad.

Niets daarvan is een argument tegen ooit een reset. Het is een argument tegen eerst resetten, op een machine die je niet hebt gedocumenteerd, wanneer de echte storing misschien één route-item of één verouderd filter is. Een reset is een breed gereedschap met een smalle slagingskans, en het als eerste zet gebruiken garandeert dat je nooit leert welke van de twee het was.

Bewaar het bewijs voordat je de instellingen bewaart

De storing zelf is data. Noteer de exacte foutcode, de tijd, welk profiel was geselecteerd en of de gateway überhaupt een poging heeft gelogd. Een code die zegt dat de tunnel nooit een antwoord kreeg en een code die zegt dat de authenticatie mislukte, wijzen op volledig verschillende reparaties. Na een reset kun je misschien geen van beide reproduceren. Behandel de kapotte toestand als een bezit dat je op het punt staat uit te geven.

Leg de toestand vast terwijl hij nog kapot is, in een map buiten de tijdelijke mappen van de machine:

mkdir C:\vpn-evidence
ipconfig /all > C:\vpn-evidence\ipconfig.txt
route print > C:\vpn-evidence\routes.txt
Get-VpnConnection -AllUserConnection | Export-Csv C:\vpn-evidence\profiles.csv -NoTypeInformation
netsh wfp show state file=C:\vpn-evidence\wfp.xml

De laatste opdracht is degene die mensen overslaan, en vaak is het juist degene die de storing verklaart. Achtergebleven filters van een verwijderde client overleven als permanent beleid, en de geëxporteerde XML is de enige lokale registratie ervan. Lees die voordat een reset wist wat je probeerde te identificeren.

Bewaar de configuratie die niet terugkomt

Sommige instellingen worden automatisch opnieuw aangemaakt. Statische adressen, aangepaste routes, DNS-suffixen, proxy-uitzonderingen en firewallregels niet. De profielen zelf ook niet, die leven in een telefoonboekbestand dat de reset niet voor je herstelt.

Get-NetIPConfiguration | Out-File C:\vpn-evidence\netip.txt
Get-NetRoute -AddressFamily IPv4 | Export-Csv C:\vpn-evidence\netroutes.csv -NoTypeInformation
Get-DnsClientServerAddress | Export-Csv C:\vpn-evidence\dns.csv -NoTypeInformation
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject,Thumbprint,NotAfter

De certificaatlijst is belangrijker dan hij lijkt. Clientcertificaten worden niet vernietigd door een netwerkreset, maar de lijst vertelt je op welke het profiel leunde en of er een binnenkort verloopt. Een verlopen certificaat ontdekken na een herbouw verspilt de herbouw.

Schrijf het herstelpad op voordat je begint

Als de machine op afstand staat en de VPN je enige toegang is, kan de reset je sessie beëindigen en is er misschien geen weg terug zonder iemand ter plaatse. Bevestig dat out-of-band-toegang bestaat, of dat er iemand beschikbaar is, voordat je iets uitvoert dat adapters aanraakt.

Bewaar de installatieprogramma's en de verbindingsgegevens ergens waar de machine ze daarna nog kan bereiken. Een client die opnieuw moet worden geïnstalleerd vanaf een leveranciersportaal dat via de tunnel bereikbaar is, is een cirkelafhankelijkheid, en dat is de meest voorkomende manier waarop deze procedure een storing wordt.

Noteer dan wat je doet en waarom, inclusief de exacte opdrachten. De volgende persoon moet weten of de reset een experiment of een beslissing was, en “we hebben alles geprobeerd” is geen registratie.

Test na de reset in lagen

Te veel tegelijk herstellen maakt het resultaat onleesbaar. Werk van onderaf: adapter en adres, dan naamresolutie, dan de identiteitsfase van de tunnel, dan de toepassing. Elke laag heeft een opdracht die zijn eigen vraag beantwoordt:

Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object Name,InterfaceDescription
Resolve-DnsName intranet.example.internal
Get-VpnConnection -Name 'Corp' | Select-Object ConnectionStatus,TunnelType
Test-NetConnection -ComputerName intranet.example.internal -Port 443

Als de adapterlaag gezond is en de resolutie niet, stop dan en repareer de resolutie. De VPN-client op dat punt opnieuw installeren voegt een variabele toe en haalt een aanwijzing weg. Herstel alleen de instellingen die je kunt uitleggen, één voor één, en controleer daarna dezelfde laag.

Microsofts eigen probleemoplossingsrichtlijn voor fout 720 maakt bijvoorbeeld onderscheid tussen bindingsproblemen en adrestoewijzingsproblemen in plaats van een algemene reset voor te schrijven, wat het juiste instinct is voor elke code in deze familie. Lees wat de code beweert voordat je naar het breedste beschikbare gereedschap grijpt.