VPN w Windows: dopasuj klienta do profilu

Windows zgłasza, że tunel jest połączony, podczas gdy strona intranetu wciąż przekracza limit czasu, a profil pochodzi od kogoś, kto już odszedł. Za tym stanem stoją dwa osobne błędy: zły klient do pliku i błędne oczekiwanie co do tego, co obejmuje tunel. Rozróżnienie ich wymaga kilku poleceń i oszczędza reinstalację. Żadnego z nich nie naprawia restart.

Wbudowany klient importuje tylko własne typy

Windows dostarcza klienta VPN, który rozumie określone typy połączeń, i nie zaimportuje pliku OpenVPN ani konfiguracji WireGuard, niezależnie od nazwy pliku. Tamte wymagają własnego oprogramowania, zainstalowanego ze zweryfikowanej strony pobierania dostawcy. Znany wpis w menu sieci nie jest dowodem, że serwer go obsługuje, a profil przemianowany na znane rozszerzenie nadal jest złym plikiem. Typ połączenia musi odpowiadać temu, co dostarczył operator, a nie temu, co menu przypadkiem oferuje.

W przypadku połączenia natywnego dodaj je w ustawieniach sieci i wpisz dokładnie te wartości, które otrzymałeś. IKEv2 oparty na certyfikacie i punkt wejścia z nazwą użytkownika i hasłem to różne konfiguracje, nawet gdy oba trafiają pod ten sam nagłówek. Jeśli urządzenie zarządzane już dostarcza połączenie, użyj go zamiast budować drugie obok.

Kroki logowania nie są wymienne

Połączenie może wymagać nazwy użytkownika i hasła, certyfikatu klienta, interaktywnego monitu lub kilku z nich po kolei. Hasło klucza prywatnego odblokowuje klucz i nie jest hasłem usługi, nawet gdy oba wpisuje się w tym samym oknie. Ostrzeżenie o certyfikacie dotyczy tożsamości lub zaufania, a nie tego, czy nazwa konta jest poprawnie zapisana. Odczytanie, które z trzech zawiodło, decyduje o następnym kroku.

Przeczytaj odrzucenie zamiast je powtarzać. Błąd uwierzytelniania i błąd zaufania wyglądają podobnie w oknie stanu i nie mają nic wspólnego pod spodem: pierwszy potrzebuje poświadczenia, drugi łańcucha, który klient akceptuje.

Trzymaj poświadczenia i materiał certyfikatów poza zrzutami ekranu. Zdjęcie strony ustawień może naraz ujawnić adres serwera i zapisaną nazwę użytkownika, a wątek pomocy jest dokumentem publicznym częściej, niż ludzie się spodziewają. Zamaluj przed publikacją, a nie po tym, jak ktoś już to zacytował.

W PowerShellu Get-VpnConnection wyświetla to, co Windows uważa za skonfigurowane, w tym wpisy, które okno ustawień trzyma poza zasięgiem wzroku. Z wiersza cmd rasdial łączy się według nazwy połączenia, a ipconfig /all pokazuje, co adapter faktycznie otrzymał. Obie powłoki nie dzielą jednego parsera, więc wklejaj każdą linię do właściwej.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Decyduje tabela routingu, nie ikona adaptera

Tunel firmowy może trasować tylko cele biurowe, zostawiając zwykłe przeglądanie na połączeniu lokalnym, podczas gdy profil pełnego tunelu robi odwrotnie. Otwórz rzeczywisty zasób, zanim uznasz, że któreś z tych zachowań jest błędne. Ikona informuje o stanie adaptera, a odpowiedź jest w tabeli routingu. Te dwie rzeczy częściej się nie zgadzają, niż przyznaje okno stanu.

Bardziej szczegółowe wpisy mogą wysłać podsieć do tunelu, podczas gdy trasa domyślna pozostaje na zewnątrz, i dokładnie tak powinien wyglądać tunel dzielony. Brakujący wpis to drugi częsty wynik, a z przeglądarki wygląda identycznie jak tunel, który padł. Porównaj prefiks, do którego nie docierasz, z tabelą, a nie z ikoną. Dlatego ikona i tabela mogą się różnić, gdy obie mówią prawdę o różnych rzeczach.

Nie usuwaj tras dlatego, że tabela zawiera adaptery, których nie rozpoznajesz. Maszyna wirtualna, sterownik filtra lub drugi klient mogą dodać po jednym, a usunięcie psuje coś, co wcześniej działało.

route print -4
nslookup intranet.corp.internal

Nazwy prywatne wymagają resolvera organizacji

Nazwy prywatne wymagają resolvera organizacji, a przeglądarka z własnym bezpiecznym DNS może całkowicie ominąć ustawienie systemowe. To daje mylący przypadek, w którym zapytanie z wiersza poleceń zwraca adres, a ta sama nazwa nadal zawodzi w przeglądarce.

Zanim cokolwiek zmienisz, sprawdź, który adapter dostarczył bieżącą konfigurację DNS. Zachowaj resolver organizacji dla nazw prywatnych, zamiast zastępować go usługą publiczną. Zastąpienie go publicznym resolverem zwykle naprawia nazwę publiczną i psuje każdą wewnętrzną, co jest gorszą awarią niż ta wyjściowa. Jeśli połączenie zgłasza sukces, a nic nie działa, przejdź przez przekazywanie i DNS, zanim zresetujesz stos sieciowy.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Dokumentacja Microsoftu o typach połączeń VPN w Windows i wtyczkach jest odniesieniem, który klient obsługuje który typ, i żadna etykieta menu tego nie mówi. Po każdej zmianie połącz się ponownie i ponów próbę w rzeczywistej aplikacji, a nie w ikonie stanu. Zapisz działający profil tam, gdzie go znowu znajdziesz, i zanotuj resolver oraz trasę, które go uruchomiły, bo następna maszyna będzie potrzebować obu.