VPN în Windows: potriviți clientul cu profilul

Windows raportează tunelul ca conectat în timp ce pagina intranetului încă expiră, iar profilul a venit de la cineva care a plecat între timp. În spatele acelei stări stau două erori separate: clientul greșit pentru fișier și așteptarea greșită despre ce acoperă tunelul. Distingerea lor cere câteva comenzi și economisește o reinstalare. Niciuna nu se rezolvă printr-o repornire.

Clientul integrat importă doar tipurile proprii

Windows oferă un client VPN care înțelege anumite tipuri de conexiune și nu va importa un fișier OpenVPN sau o configurație WireGuard, indiferent cum se numește fișierul. Acelea au nevoie de software propriu, instalat de pe pagina de descărcare verificată a furnizorului. O intrare familiară în meniul de rețea nu este dovada că serverul o acceptă, iar un profil redenumit cu o extensie familiară rămâne fișierul greșit. Tipul conexiunii trebuie să corespundă cu ce a furnizat operatorul, nu cu ce oferă întâmplător meniul.

Pentru o conexiune nativă, adăugați-o din setările de rețea și tastați exact valorile primite. Un IKEv2 bazat pe certificat și un punct de intrare cu nume de utilizator și parolă sunt configurații diferite, chiar dacă ambele ajung sub același titlu. Dacă un dispozitiv administrat oferă deja o conexiune, folosiți-o în loc să construiți una a doua alături.

Pașii de autentificare nu sunt interschimbabili

O conexiune poate cere un nume de utilizator și o parolă, un certificat de client, o solicitare interactivă sau mai multe dintre acestea în succesiune. Fraza de acces a unei chei private deblochează o cheie și nu este parola serviciului, chiar dacă ambele sunt tastate în același dialog. Un avertisment de certificat privește identitatea sau încrederea, nu dacă numele contului este scris corect. Citirea căreia dintre cele trei a eșuat decide pasul următor.

Citiți refuzul în loc să îl repetați. O eroare de autentificare și una de încredere arată similar într-o fereastră de stare și nu au nimic în comun dedesubt: prima are nevoie de o acreditare, a doua de un lanț pe care clientul îl acceptă.

Țineți acreditările și materialul de certificat în afara capturilor de ecran. O fotografie a unei pagini de setări poate expune simultan o adresă de server și un nume de utilizator salvat, iar un fir de asistență este un document public mai des decât se așteaptă oamenii. Mascați înainte de publicare, nu după ce cineva l-a citat deja.

În PowerShell, Get-VpnConnection listează ce crede Windows că este configurat, inclusiv intrări pe care fereastra de setări le ține departe de vedere. Din promptul cmd, rasdial se conectează după numele conexiunii, iar ipconfig /all arată ce a primit adaptorul de fapt. Cele două shell-uri nu împart un parser, așa că lipiți fiecare linie în cel corect.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Decide tabelul de rutare, nu pictograma adaptorului

Un tunel corporativ poate ruta doar destinațiile de birou, lăsând navigarea obișnuită pe conexiunea locală, în timp ce un profil de tunel complet face invers. Deschideți resursa reală înainte de a decide că vreuna dintre cele două comportamente este greșită. Pictograma raportează starea adaptorului, iar răspunsul se află în tabelul de rutare. Acestea două nu sunt de acord mai des decât recunoaște o fereastră de stare.

Intrările mai specifice pot trimite o subrețea în tunel în timp ce ruta implicită rămâne în afara lui, și exact așa trebuie să arate un tunel divizat. O intrare lipsă este celălalt rezultat obișnuit, iar din browser arată identic cu un tunel căzut. Comparați prefixul la care nu ajungeți cu tabelul, nu cu pictograma. De aceea pictograma și tabelul pot fi în dezacord în timp ce ambele spun adevărul despre lucruri diferite.

Nu ștergeți rute pentru că tabelul conține adaptoare pe care nu le recunoașteți. O mașină virtuală, un driver de filtru sau un al doilea client pot adăuga fiecare câte unul, iar eliminarea lui strică ceva ce funcționa înainte.

route print -4
nslookup intranet.corp.internal

Numele private au nevoie de resolverul organizației

Numele private au nevoie de resolverul organizației, iar un browser cu DNS securizat propriu poate ocoli complet setarea sistemului. Aceasta produce cazul confuz în care o interogare din linia de comandă returnează o adresă, iar același nume eșuează în continuare în browser.

Verificați ce adaptor a furnizat configurația DNS actuală înainte de a schimba ceva. Păstrați resolverul organizației pentru numele private în loc să îl înlocuiți cu un serviciu public. Înlocuirea cu un resolver public repară de obicei un nume public și strică toate cele interne, ceea ce este o defecțiune mai rea decât cea de la care ați plecat. Dacă conexiunea raportează succes și nimic nu funcționează, parcurgeți redirecționarea și DNS înainte de a reseta stiva de rețea.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Documentația Microsoft despre tipurile de conexiune VPN din Windows și modulele suplimentare este referința pentru ce client tratează ce tip, iar nicio etichetă din meniu nu vă spune asta. Reconectați-vă după orice modificare și reîncercați aplicația reală în locul pictogramei de stare. Salvați profilul care funcționează unde îl puteți găsi din nou și notați resolverul și ruta care l-au făcut să meargă, fiindcă următorul computer le va avea nevoie pe amândouă.