VPN vo Windows: zlaďte klienta s profilom

Windows hlási tunel ako pripojený, zatiaľ čo stránka intranetu stále vyprší, a profil prišiel od niekoho, kto medzitým odišiel. Za týmto stavom stoja dve oddelené chyby: zlý klient pre súbor a zlé očakávanie toho, čo tunel pokrýva. Rozlíšiť ich vyžaduje niekoľko príkazov a ušetrí preinštalovanie. Ani jedna sa neopraví reštartom.

Vstavaný klient importuje len svoje vlastné typy

Windows dodáva VPN klienta, ktorý rozumie určitým typom pripojenia, a neimportuje súbor OpenVPN ani konfiguráciu WireGuard, nech sa súbor volá akokoľvek. Tie potrebujú vlastný softvér nainštalovaný z overenej stránky na stiahnutie od dodávateľa. Známa položka v ponuke siete nie je dôkazom, že ju server podporuje, a profil premenovaný na známu príponu je stále nesprávny súbor. Typ pripojenia musí zodpovedať tomu, čo dodal operátor, a nie tomu, čo ponuka náhodou ponúka.

Pri natívnom pripojení ho pridajte v nastaveniach siete a zadajte presne hodnoty, ktoré ste dostali. IKEv2 založené na certifikáte a vstupný bod s používateľským menom a heslom sú rôzne konfigurácie, aj keď obe skončia pod tou istou hlavičkou. Ak spravované zariadenie už poskytuje pripojenie, použite ho namiesto toho, aby ste vedľa stavali druhé.

Kroky prihlásenia nie sú zameniteľné

Pripojenie môže vyžadovať používateľské meno a heslo, klientsky certifikát, interaktívnu výzvu alebo niekoľko z toho za sebou. Heslo k súkromnému kľúču odomyká kľúč a nie je heslom služby, aj keď sa oboje zadáva do rovnakého dialógu. Upozornenie na certifikát sa týka identity alebo dôvery, nie toho, či je meno účtu napísané správne. Prečítaním, ktoré z troch zlyhalo, sa určuje ďalší krok.

Prečítajte odmietnutie, namiesto toho aby ste ho opakovali. Zlyhanie overenia a zlyhanie dôvery vyzerajú v stavovom okne podobne a pod povrchom nemajú nič spoločné: prvé potrebuje prihlasovací údaj, druhé reťazec, ktorý klient prijme.

Držte prihlasovacie údaje a certifikátny materiál mimo snímok obrazovky. Fotografia stránky nastavení môže naraz prezradiť adresu servera a uložené používateľské meno a vlákno podpory je verejný dokument častejšie, než ľudia čakajú. Zatemnite citlivé údaje pred zverejnením, nie po tom, čo ich niekto už citoval.

V PowerShelli Get-VpnConnection vypíše, čo Windows považuje za nakonfigurované, vrátane položiek, ktoré okno nastavení drží mimo dohľadu. Z príkazového riadka cmd sa rasdial pripája podľa názvu pripojenia a ipconfig /all ukáže, čo adaptér skutočne dostal. Obe prostredia nezdieľajú rovnaký parser, takže každý riadok vložte do správneho.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Rozhoduje smerovacia tabuľka, nie ikona adaptéra

Podnikový tunel môže smerovať len kancelárske ciele a bežné prehliadanie nechať na lokálnom pripojení, zatiaľ čo profil plného tunela robí opak. Otvorte skutočný prostriedok, skôr než rozhodnete, že niektoré z tých dvoch správaní je nesprávne. Ikona hlási stav adaptéra a odpoveď žije v smerovacej tabuľke. Tieto dve sa nezhodujú častejšie, než stavové okno priznáva.

Konkrétnejšie položky môžu poslať podsieť do tunela, zatiaľ čo predvolená trasa zostáva mimo neho, a presne tak má vyzerať rozdelený tunel. Chýbajúca položka je druhý častý výsledok a z prehliadača vyzerá rovnako ako tunel, ktorý nefunguje. Porovnajte prefix, na ktorý sa nedostanete, s tabuľkou, nie s ikonou. Preto sa ikona a tabuľka môžu rozchádzať, aj keď obe hovoria pravdu o odlišných veciach.

Nemažte trasy preto, že tabuľka obsahuje adaptéry, ktoré nepoznáte. Virtuálny stroj, filtrovací ovládač alebo druhý klient môžu každý pridať jednu a odstránenie pokazí niečo, čo predtým fungovalo.

route print -4
nslookup intranet.corp.internal

Súkromné mená potrebujú resolver organizácie

Súkromné mená potrebujú resolver organizácie a prehliadač s vlastným zabezpečeným DNS môže systémové nastavenie úplne obísť. Tým vzniká mätúci prípad, keď dopyt z príkazového riadka vráti adresu a to isté meno v prehliadači stále zlyháva.

Pred zmenou čohokoľvek skontrolujte, ktorý adaptér dodal aktuálnu konfiguráciu DNS. Ponechajte resolver organizácie pre súkromné mená, namiesto toho aby ste ho nahradili verejnou službou. Nahradenie verejným resolverom zvyčajne opraví verejné meno a pokazí každé interné, čo je horšia porucha než tá pôvodná. Ak pripojenie hlási úspech a nič nefunguje, prejdite preposielanie a DNS, skôr než resetujete sieťový zásobník.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Dokumentácia Microsoftu o typoch VPN pripojení vo Windows a doplnkoch je referenciou, ktorý klient zvláda ktorý typ, a žiadny štítok v ponuke vám to nepovie. Po každej zmene sa znova pripojte a znova vyskúšajte skutočnú aplikáciu namiesto stavovej ikony. Uložte fungujúci profil tam, kde ho znova nájdete, a poznačte si resolver a trasu, ktoré ho spustili, pretože ďalší stroj bude potrebovať oboje.