VPN в Windows: подберите клиент под профиль

Windows сообщает, что туннель подключён, а страница внутренней сети по-прежнему не отвечает, и профиль пришёл от человека, который уже уволился. За этим состоянием стоят две отдельные ошибки: не тот клиент для файла и неверное ожидание того, что охватывает туннель. Чтобы их различить, нужно несколько команд, и это экономит переустановку. Ни одна из них не исправляется перезагрузкой.

Встроенный клиент импортирует только свои типы

Windows поставляет клиент VPN, который понимает определённые типы подключений, и он не импортирует файл OpenVPN или конфигурацию WireGuard, как бы файл ни назывался. Им нужна собственная программа, установленная с проверенной страницы загрузки поставщика. Знакомая запись в меню сети не доказывает, что сервер её поддерживает, а профиль, переименованный со знакомым расширением, всё равно остаётся неправильным файлом. Тип подключения должен соответствовать тому, что выдал оператор, а не тому, что случайно предлагает меню.

Для собственного подключения добавьте его через сетевые параметры и введите ровно те значения, которые вам дали. IKEv2 на основе сертификата и точка входа с именем пользователя и паролем — разные конфигурации, даже когда обе оказываются под одним заголовком. Если управляемое устройство уже предоставляет подключение, используйте его, а не стройте второе рядом.

Шаги входа не взаимозаменяемы

Подключение может требовать имени пользователя и пароля, сертификата клиента, интерактивного запроса или нескольких из них подряд. Парольная фраза приватного ключа разблокирует ключ и не является паролем службы, даже когда обе вводятся в одном диалоге. Предупреждение о сертификате касается личности или доверия, а не того, правильно ли написано имя учётной записи. Понимание того, что именно из трёх не сработало, определяет следующий шаг.

Прочитайте отказ, а не повторяйте его. Ошибка аутентификации и ошибка доверия выглядят одинаково в окне состояния и не имеют ничего общего внутри: первой нужны учётные данные, второй — цепочка, которую клиент принимает.

Держите учётные данные и материалы сертификатов вне снимков экрана. Фотография страницы настроек может одновременно раскрыть адрес сервера и сохранённое имя пользователя, а тема поддержки чаще, чем люди ожидают, оказывается публичным документом. Замазывайте до публикации, а не после того, как кто-то уже процитировал.

В PowerShell Get-VpnConnection перечисляет то, что Windows считает настроенным, включая записи, которые окно параметров держит вне поля зрения. Из командной строки cmd rasdial подключается по имени подключения, а ipconfig /all показывает, что адаптер действительно получил. Две оболочки не используют один разборщик, поэтому вставляйте каждую строку в нужную.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Решает таблица маршрутов, а не значок адаптера

Корпоративный туннель может маршрутизировать только офисные назначения, оставляя обычный просмотр на локальном подключении, а профиль полного туннеля делает наоборот. Откройте настоящий ресурс, прежде чем решать, что какое-то из двух поведений неправильно. Значок сообщает состояние адаптера, а ответ находится в таблице маршрутов. Эти двое расходятся чаще, чем признаёт окно состояния.

Более конкретные записи могут отправлять подсеть в туннель, пока маршрут по умолчанию остаётся снаружи, и именно так должен выглядеть раздельный туннель. Отсутствующая запись — другой частый результат, и из браузера она выглядит так же, как упавший туннель. Сравнивайте префикс, до которого не доходит, с таблицей, а не со значком. Поэтому значок и таблица могут расходиться, хотя оба говорят правду о разных вещах.

Не удаляйте маршруты только потому, что в таблице есть незнакомые адаптеры. Виртуальная машина, драйвер фильтра или второй клиент могут добавить по одному, а удаление ломает то, что раньше работало.

route print -4
nslookup intranet.corp.internal

Приватным именам нужен резолвер организации

Приватным именам нужен резолвер организации, а браузер с собственным безопасным DNS может полностью обойти системную настройку. Из-за этого возникает запутанный случай, когда запрос из командной строки возвращает адрес, а то же имя в браузере всё равно не открывается.

Прежде чем что-либо менять, проверьте, какой адаптер выдал текущую конфигурацию DNS. Сохраняйте резолвер организации для приватных имён, а не заменяйте его публичным сервисом. Замена на публичный резолвер обычно чинит публичное имя и ломает все внутренние, что хуже исходной проблемы. Если подключение сообщает об успехе и ничего не работает, пройдитесь по переадресации и DNS, прежде чем сбрасывать сетевой стек.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Документация Microsoft о типах VPN-подключений Windows и подключаемых модулях — это справка о том, какой клиент обрабатывает какой тип, и ни одна подпись в меню вам этого не скажет. После любого изменения переподключитесь и снова проверьте настоящее приложение, а не значок состояния. Сохраните рабочий профиль там, где найдёте его снова, и запишите резолвер и маршрут, которые заставили его работать, потому что следующей машине понадобится и то и другое.