VPN no Windows: alinhe o cliente com o perfil

O Windows indica o túnel como ligado enquanto a página da intranet continua a expirar, e o perfil veio de alguém que já saiu. Por trás desse estado estão dois erros distintos: o cliente errado para o ficheiro e a expectativa errada sobre o que o túnel abrange. Distingui-los exige alguns comandos e poupa uma reinstalação. Nenhum dos dois se resolve com um reinício.

O cliente integrado só importa os seus próprios tipos

O Windows inclui um cliente VPN que compreende determinados tipos de ligação e não importará um ficheiro OpenVPN nem uma configuração WireGuard, seja qual for o nome do ficheiro. Esses precisam do seu próprio software, instalado a partir da página de transferência verificada do fornecedor. Uma entrada familiar no menu de rede não é prova de que o servidor a suporte, e um perfil renomeado com uma extensão familiar continua a ser o ficheiro errado. O tipo de ligação tem de corresponder ao que o operador forneceu, não ao que o menu oferece por acaso.

Para uma ligação nativa, adicione-a através das definições de rede e escreva exatamente os valores que recebeu. Um IKEv2 baseado em certificado e um ponto de entrada com nome de utilizador e palavra-passe são configurações diferentes, mesmo quando ambos acabam sob o mesmo cabeçalho. Se um dispositivo gerido já fornece uma ligação, use essa em vez de construir uma segunda ao lado.

Os passos de início de sessão não são intermutáveis

Uma ligação pode exigir um nome de utilizador e uma palavra-passe, um certificado de cliente, uma solicitação interativa ou vários destes em sequência. A frase de acesso de uma chave privada desbloqueia uma chave e não é a palavra-passe do serviço, mesmo quando ambas são escritas na mesma caixa de diálogo. Um aviso de certificado diz respeito à identidade ou à confiança, não a se o nome da conta está bem escrito. Ler qual dos três falhou decide o passo seguinte.

Leia a rejeição em vez de a repetir. Uma falha de autenticação e uma falha de confiança parecem iguais numa janela de estado e não têm nada em comum por baixo: a primeira precisa de uma credencial, a segunda de uma cadeia que o cliente aceite.

Mantenha as credenciais e o material dos certificados fora das capturas de ecrã. Uma fotografia de uma página de definições pode expor ao mesmo tempo um endereço de servidor e um nome de utilizador guardado, e um fio de apoio é um documento público mais vezes do que as pessoas esperam. Oculte antes de publicar, não depois de alguém já o ter citado.

No PowerShell, Get-VpnConnection lista o que o Windows considera configurado, incluindo entradas que a janela de definições mantém fora de vista. A partir de uma linha de comandos cmd, rasdial liga-se pelo nome da ligação e ipconfig /all mostra o que o adaptador recebeu de facto. As duas shells não partilham analisador, por isso cole cada linha na correta.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Decide a tabela de rotas, não o ícone do adaptador

Um túnel empresarial pode encaminhar apenas destinos do escritório, deixando a navegação normal na ligação local, enquanto um perfil de túnel completo faz o contrário. Abra o recurso real antes de decidir que qualquer dos dois comportamentos está errado. O ícone relata o estado do adaptador, e a resposta está na tabela de rotas. Estes dois discordam mais vezes do que uma janela de estado admite.

Entradas mais específicas podem enviar uma sub-rede para dentro do túnel enquanto a rota predefinida fica de fora, e é exatamente assim que um túnel dividido deve parecer. Uma entrada em falta é o outro resultado comum, e a partir do navegador parece idêntica a um túnel em baixo. Compare o prefixo a que não chega com a tabela, não com o ícone. É por isso que o ícone e a tabela podem discordar enquanto ambos dizem a verdade sobre coisas diferentes.

Não elimine rotas por a tabela conter adaptadores que não reconhece. Uma máquina virtual, um controlador de filtro ou um segundo cliente podem acrescentar um cada, e removê-lo quebra algo que antes funcionava.

route print -4
nslookup intranet.corp.internal

Os nomes privados precisam do resolver da organização

Os nomes privados precisam do resolver da organização, e um navegador com o seu próprio DNS seguro pode contornar completamente a definição do sistema. Isso produz o caso confuso em que uma consulta na linha de comandos devolve um endereço e o mesmo nome continua a falhar no navegador.

Verifique que adaptador forneceu a configuração de DNS atual antes de alterar seja o que for. Mantenha o resolver da organização para nomes privados em vez de o substituir por um serviço público. Substituí-lo por um resolver público normalmente repara um nome público e quebra todos os internos, o que é uma falha pior do que aquela com que começou. Se a ligação relata sucesso e nada funciona, reveja o encaminhamento e o DNS antes de reiniciar a pilha de rede.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

A documentação da Microsoft sobre os tipos de ligação VPN do Windows e os suplementos é a referência de que cliente trata que tipo, e nenhuma etiqueta do menu lhe diz isso. Volte a ligar após qualquer alteração e experimente novamente a aplicação real em vez do ícone de estado. Guarde o perfil que funciona onde o possa encontrar de novo, e anote o resolver e a rota que o puseram a funcionar, porque a máquina seguinte precisará de ambos.