Почему VPN-адаптер Windows остаётся после отключения

Состояние показывает отключено, приложение закрыто, а сетевой адаптер с именем клиента по-прежнему в списке. Для большинства VPN-клиентов Windows это обычное поведение: интерфейс — программный компонент со своим сроком жизни, а не воткнутый кабель. Настоящей проблемой это становится только когда интерфейс есть, а сеанса нет, и слои проверяются в неверном порядке. Чтение в правильном порядке требует четырёх команд и избавляет от лишней переустановки.

Три жизни в одном окне

Сохранённый профиль — объект конфигурации. Он может существовать годами, переезжать в пакете развёртывания и ничего не создавать, пока кто-нибудь не подключится. Его удаление убирает возможность, которой в тот момент никто не пользовался, а иногда и единственную запись о том, как попадали на сайт.

Служба или помощник клиента — это процесс. Он запускается вместе с системой или по требованию, выполняет привилегированную работу и может продолжать работать вообще без подключения.

Сетевой интерфейс — устройство, представляемое сетевому стеку. Он может появляться при запуске клиента, сохраняться после отключений или создаваться только на время установки туннеля. Одни клиенты показывают адаптер на каждый профиль, другие делят один на всё. Что именно произойдёт, зависит от продукта, а не от протокола.

Видеть одно из трёх ничего надёжного не говорит о двух других, и именно отсюда берётся большая часть путаницы в этой области.

Что на самом деле показывает список адаптеров

Инвентаризация адаптеров включает и скрытые, а VPN-программы по законным причинам регулярно оставляют скрытые интерфейсы. Если их отфильтровать, рабочая установка выглядит чище, чем есть; если показать, чистая машина выглядит переполненной.

Эти команды перечисляют каждый адаптер, включая скрытые записи, а затем отдельно перечисляют встроенные профили VPN:

Get-NetAdapter -IncludeHidden | Select-Object Name,InterfaceDescription,Status
Get-VpnConnection
Get-Service | Where-Object DisplayName -match VPN

Вторая команда охватывает только профили, которыми управляет сама операционная система. Клиент стороннего производителя с собственным форматом конфигурации там не появится, поэтому пустой результат не означает, что ничего не установлено.

Читайте сеанс, а не интерфейс

Вопрос, на который стоит ответить, — существует ли аутентифицированный сеанс, а не есть ли адаптер в списке. Это разные факты, и только один из них влияет на ваш трафик.

Спросите клиент, которому принадлежит подключение, через его собственный вывод состояния или меню в системном трее. Затем спросите операционную систему, какие адреса и маршруты есть на нужном интерфейсе. Интерфейс без адреса или с адресом и без маршрута описывает туннель, который ничего не переносит.

Задайте и третий вопрос: это тот интерфейс, который клиент использует прямо сейчас? Машины накапливают адаптеры от клиентов, которые были удалены, переименованы или заменены, и устаревший часто и есть тот, у которого тревожное описание.

Когда все три ответа совпадают, есть настоящая неисправность. Когда адаптер присутствует, а сеанс здоров, это косметическая запись и повод её не трогать.

Когда создание интерфейса не удаётся

Противоположный симптом серьёзнее: клиент сообщает об ошибке драйвера или адаптера, и интерфейс не появляется. Это указывает на компонент ядра, а не на конфигурацию.

Прежде чем выбирать исправление, нужно определить владеющий клиент, его службу и установленную версию драйвера. Удаление сетевого драйвера, который использует и другой продукт, или отключение средства безопасности ради успешной установки меняет компонент, который вы не собирались трогать.

Перезагрузка — разумный первый шаг, потому что она сбрасывает зависшее состояние устройства. Это не диагностика, поэтому запишите, что говорила ошибка, прежде чем перезагрузка это сотрёт. Запишите и версию драйвера: переустановка может заменить его той же версией и оставить сбой на месте.

Запишите владельца, прежде чем что-то удалять

Если адаптер действительно принадлежит исчезнувшему продукту, его удаление — это уборка. Сначала подтвердите владельца, сопоставив описание интерфейса с клиентом и его пакетом драйверов, и проверьте, что ни один сохранённый профиль от него больше не зависит.

Затем запишите в заметку поддержки три вещи: продукт, идентичность интерфейса и версию драйвера. Эти три позволяют отличить временный интерфейс от следа установки и избавляют следующего человека от повторной инвентаризации.

Чего происходить не должно — удаления незнакомого адаптера из-за того, что он выглядит неаккуратно. Цена его сохранения — одна строка в списке; цена удаления не того — клиент, который больше не может подключиться, и отсутствие записи о том, что изменилось.