VPN på Windows: tilpass klienten til profilen

Windows rapporterer at tunnelen er tilkoblet mens intranettsiden fortsatt får tidsavbrudd, og profilen kom fra noen som siden har sluttet. To separate feil ligger bak den tilstanden: feil klient for filen og feil forventning om hva tunnelen dekker. Å skille dem koster noen kommandoer og sparer en reinstallering. Ingen av dem løses ved å starte på nytt.

Den innebygde klienten importerer bare sine egne typer

Windows leveres med en VPN-klient som forstår bestemte tilkoblingstyper, og den importerer ikke en OpenVPN-fil eller en WireGuard-konfigurasjon, uansett hva filen heter. De trenger sin egen programvare, installert fra leverandørens verifiserte nedlastingsside. En kjent oppføring i nettverksmenyen er ikke bevis for at serveren støtter den, og en profil som er omdøpt med en kjent filendelse er fortsatt feil fil. Tilkoblingstypen må samsvare med det operatøren leverte, ikke det menyen tilfeldigvis tilbyr.

For en innebygd tilkobling legger du den til via nettverksinnstillingene og skriver inn nøyaktig verdiene du fikk. Sertifikatbasert IKEv2 og et inngangspunkt med brukernavn og passord er forskjellige konfigurasjoner, selv når begge ender under samme overskrift. Hvis en administrert enhet allerede leverer en tilkobling, bruk den i stedet for å bygge en annen ved siden av.

Innloggingstrinnene kan ikke byttes om

En tilkobling kan kreve et brukernavn og et passord, et klient sertifikat, en interaktiv forespørsel eller flere av disse i rekkefølge. En passfrase til en privat nøkkel låser opp en nøkkel og er ikke tjenestens passord, selv når begge tastes inn i samme dialog. En sertifikatadvarsel handler om identitet eller tillit, ikke om kontonavnet er stavet riktig. Å lese hvilken av de tre som feilet avgjør neste steg.

Les avvisningen i stedet for å gjenta den. En autentiseringsfeil og en tillitsfeil ser like ut i et statusvindu og har ingenting til felles under: den første trenger en legitimasjon, den andre en kjede klienten godtar.

Hold legitimasjon og sertifikatmateriale unna skjermbilder. Et bilde av en innstillingsside kan avsløre en serveradresse og et lagret brukernavn på én gang, og en støttetråd er et offentlig dokument oftere enn folk forventer. Sladd før du legger ut, ikke etter at noen allerede har sitert det.

I PowerShell lister Get-VpnConnection opp det Windows mener er konfigurert, inkludert oppføringer innstillingsvinduet holder utenfor syne. Fra en cmd-ledetekst kobler rasdial til etter tilkoblingsnavn, og ipconfig /all viser hva adapteren faktisk mottok. De to skallene deler ikke en parser, så lim inn hver linje i det riktige.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Rutingtabellen avgjør, ikke adapterikonet

En bedriftstunnel kan rute bare kontordestinasjoner og la vanlig surfing bli på den lokale tilkoblingen, mens en fulltunnelprofil gjør det motsatte. Åpne den faktiske ressursen før du bestemmer at noen av de to oppførslene er feil. Ikonet rapporterer adaptertilstand, og svaret ligger i rutingtabellen. De to er uenige oftere enn et statusvindu innrømmer.

Mer spesifikke oppføringer kan sende et subnett inn i tunnelen mens standardruten blir utenfor, og det er nøyaktig hvordan en delt tunnel skal se ut. En manglende oppføring er det andre vanlige utfallet, og fra nettleseren ser den identisk ut med en tunnel som er nede. Sammenlign prefikset du ikke når med tabellen i stedet for med ikonet. Det er derfor ikonet og tabellen kan være uenige mens begge sier sannheten om forskjellige ting.

Ikke slett ruter fordi tabellen inneholder adaptere du ikke kjenner igjen. En virtuell maskin, en filterdriver eller en annen klient kan hver legge til én, og å fjerne den ødelegger noe som pleide å virke.

route print -4
nslookup intranet.corp.internal

Private navn trenger organisasjonens resolver

Private navn trenger organisasjonens resolver, og en nettleser med sin egen sikre DNS kan omgå systeminnstillingen helt. Det gir det forvirrende tilfellet der et oppslag fra kommandolinjen returnerer en adresse, og det samme navnet fortsatt feiler i nettleseren.

Sjekk hvilken adapter som leverte gjeldende DNS-konfigurasjon før du endrer noe. Behold organisasjonens resolver for private navn i stedet for å erstatte den med en offentlig tjeneste. Å bytte til en offentlig resolver reparerer vanligvis et offentlig navn og ødelegger alle interne, noe som er en verre feil enn den du startet med. Hvis tilkoblingen rapporterer suksess og ingenting virker, gå gjennom videresending og DNS før du tilbakestiller nettverksstakken.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Microsofts dokumentasjon om Windows VPN-tilkoblingstyper og programtillegg er referansen for hvilken klient som håndterer hvilken type, og ingen menytikett forteller deg det. Koble til på nytt etter hver endring, og prøv den ekte applikasjonen i stedet for statusikonet. Lagre profilen som virker der du kan finne den igjen, og noter resolveren og ruten som fikk den til å virke, for neste maskin trenger begge.