Dlaczego Get-VpnConnection pomija niektóre profile VPN w Windows

Wpisz Get-VpnConnection, nie dostaniesz nic z powrotem, i dochodzenie zwykle na tym się kończy. Ten pusty wynik jest czytany jako dowód, że maszyna nie ma żadnego VPN, nawet gdy tunel przenosi ruch. Polecenie jest w porządku; założenie o tym, co ono inwentaryzuje, nie. Odczytuje jeden magazyn natywny w jednym zakresie i nie wie nic o klientach, które trzymają własne profile.

Jeden magazyn natywny na wywołanie

Zacznij od wywołania bez argumentów, które dotyczy profili należących do zalogowanego konta. To wywołanie większość ludzi uruchamia jako pierwsze:

Get-VpnConnection

Każdy zwrócony obiekt niesie Name, ServerAddress, TunnelType i ConnectionStatus, a te cztery pola wystarczą, by odróżnić dwa wpisy w zgłoszeniu. Profil może miesiącami stać rozłączony i nadal być na liście, bo obiekt opisuje zapisaną konfigurację, a nie ruch na żywo. Pusty wynik oznacza tutaj, że magazyn danego użytkownika nie miał nic dla tego konta. To znacznie mniejsze twierdzenie niż to, które ludzie zwykle w nim czytają.

Książka telefoniczna wszystkich użytkowników wymaga własnego zapytania

Profile obsługujące każde konto żyją na osobnej liście, a wywołanie domyślne nigdy jej nie czyta. Tego magazynu żąda się jawnie:

Get-VpnConnection -AllUserConnection

Gdy sesji brakuje uprawnień, spodziewaj się błędu odmowy dostępu, a nie pustego wyniku, i traktuj oba rezultaty różnie: jeden oznacza, że nie wolno ci patrzeć, drugi, że nic nie zapisano. Zapisz zakres obok każdej nazwy, dopóki wynik jest przed tobą, bo późniejsze polecenie nie przypomni ci, którego magazynu dotyczyło. Uprawnienia to zwykły powód, dla którego kolega widzi profil, którego ty nie możesz. Zestawy parametrów są udokumentowane na stronie referencyjnej Get-VpnConnection, wraz z tym, które przełączniki należą do którego zestawu.

Ta sama nazwa, dwa różne magazyny

Nazwa profilu jest unikalna w obrębie jego magazynu, nie w całej maszynie, więc listy dla pojedynczego użytkownika i dla wszystkich użytkowników mogą każda mieć profil o nazwie Office. Oba wpisy mogą wskazywać różne serwery, używać różnych typów tuneli i nosić różne poświadczenia. Tylko jeden z nich jest wpisem, na który użytkownik kliknie dwukrotnie. Zapisz zakres, zanim dotkniesz któregokolwiek.

Usunięcie kopii, której nikt nie uruchamia, wygląda niewinnie w oknie zmian. Staje się telefonem do wsparcia, gdy skrót użytkownika przestaje działać.

Klienci, którzy nigdy nie dotykają listy natywnej

Profil OpenVPN lub WireGuard zaimportowany do klienta dostawcy żyje we własnej konfiguracji tego klienta, więc nigdy nie staje się natywnym wpisem Windows. Klient uruchamia własną usługę, trzyma własną listę i przepuszcza ruch przez własny adapter. Nic z tego nie jest tym, o czym informuje polecenie, i żaden przełącznik zakresu nie sprawi, że się pojawi. Maszyna może mieć trzy działające tunele i pustą listę natywną.

Gdy potrzebujesz zamiast tego widoku adapterów, odpytaj adaptery. Interfejsy dostawców same się nazywają, więc dopasuj fragment, a nie dokładny ciąg:

Get-NetAdapter | Where-Object InterfaceDescription -match 'WireGuard|OpenVPN|TAP'

Profile natywne utworzone ręcznie trafiają do pliku książki telefonicznej pod profilem użytkownika, a odpowiedniki dla wszystkich użytkowników siedzą w kopii dla całej maszyny. Dlatego kopiowanie magazynu profili jednego użytkownika do innego konta rzadko odtwarza tę samą listę. Plik wyjaśnia, skąd wzięło się zabłąkane połączenie natywne. O magazynie klienta dostawcy nie mówi nic.

Co zapisać przed usunięciem profilu

Tanie ubezpieczenie to notatka z pięcioma polami: nazwa, zakres, adres serwera, stan i dokładny tekst błędu z próby użytkownika. Dodaj klienta, którego naprawdę uruchamiają, bo ten szczegół decyduje, czy wpis natywny ma jakiekolwiek znaczenie. Bez tego nawet poprawne usunięcie wygląda jak przyczyna następnej awarii. Trzymaj notatkę w zgłoszeniu, a nie w oknie czatu.

Usunięcie to jedno polecenie i kasuje konfigurację, zamiast ją wyłączać. Uruchom je tylko wtedy, gdy ta notatka istnieje:

Remove-VpnConnection -Name "Office" -Force

Dodaj -AllUserConnection, gdy cel znajduje się w magazynie wszystkich użytkowników, i najpierw zachowaj zatwierdzone źródło konfiguracji gdzie indziej. Następnie połącz się raz ponownie i odczytaj tabelę routingu, bo lista dowodzi tylko, że konfiguracja jest zapisana. Czy ruch dotrze do serwera, to osobne pytanie, na które żadna ilość danych wyjściowych Get-VpnConnection nie odpowie. Jeśli użytkownik nadal zawodzi po czystym ponownym dodaniu, profil nigdy nie był problemem.