VPN у Windows-у: ускладите клијента са профилом

Windows пријављује да је тунел повезан, док страница интернета још увек истиче, а профил је дошао од некога ко је одавно отишао. Иза тог стања стоје две одвојене грешке: погрешан клијент за датотеку и погрешно очекивање о томе шта тунел покрива. Њихово разликовање тражи неколико команди и штеди поновну инсталацију. Ниједну не отклања поновно покретање.

Уграђени клијент увози само своје типове

Windows долази са VPN клијентом који разуме одређене типове везе и неће увести OpenVPN датотеку ни WireGuard конфигурацију, како год се датотека звала. Њима је потребан сопствени софтвер, инсталиран са верификоване странице за преузимање добављача. Познат запис у мрежном менију није доказ да га сервер подржава, а профил преименован са познатим наставком и даље је погрешна датотека. Тип везе мора да одговара ономе што је оператер дао, а не ономе што мени случајно нуди.

За изворну везу, додајте је кроз мрежна подешавања и унесите тачно оне вредности које сте добили. IKEv2 заснован на сертификату и улазна тачка са корисничким именом и лозинком су различите конфигурације, чак и када обе заврше под истим насловом. Ако управљани уређај већ пружа везу, користите ту уместо да градите другу поред ње.

Кораци пријаве нису замењиви

Веза може захтевати корисничко име и лозинку, клијентски сертификат, интерактивни упит или неколико њих узастопно. Лозинка приватног кључа откључава кључ и није лозинка услуге, чак и када се обе уносе у исти дијалог. Упозорење о сертификату тиче се идентитета или поверења, а не тога да ли је име налога правилно написано. Читање које од три није успело одређује следећи корак.

Прочитајте одбијање уместо да га понављате. Грешка аутентификације и грешка поверења изгледају слично у прозору стања и немају ништа заједничко испод: првој требају акредитиви, другој ланац који клијент прихвата.

Држите акредитиве и материјал сертификата изван снимака екрана. Фотографија странице подешавања може истовремено да открије адресу сервера и сачувано корисничко име, а нит подршке је јавни документ чешће него што људи очекују. Замастите пре објављивања, а не пошто је неко то већ цитирао.

У PowerShell-у Get-VpnConnection наводи шта Windows сматра конфигурисаним, укључујући записе које прозор подешавања држи изван вида. Из cmd командне линије rasdial се повезује по имену везе, а ipconfig /all показује шта је адаптер заиста примио. Две љуске не деле исти парсер, зато сваки ред налепите у праву.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Одлучује табела рутирања, не икона адаптера

Корпоративни тунел може да рутира само канцеларијске одредишта, остављајући обично прегледање на локалној вези, док профил пуног тунела ради супротно. Отворите прави ресурс пре него што закључите да је неко од два понашања погрешно. Икона пријављује стање адаптера, а одговор је у табели рутирања. Њих две се не слажу чешће него што прозор стања признаје.

Конкретнији записи могу да пошаљу подмрежу у тунел док подразумевана рута остаје изван њега, и управо тако треба да изгледа подељени тунел. Запис који недостаје је други чест исход, и из прегледача изгледа исто као тунел који је пао. Упоредите префикс до којег не стижете са табелом, а не са иконом. Зато се икона и табела могу разилазити док обе говоре истину о различитим стварима.

Не бришите руте зато што табела садржи адаптере које не препознајете. Виртуелна машина, драјвер филтера или други клијент могу сваки да додају по једну, а уклањање квари нешто што је раније радило.

route print -4
nslookup intranet.corp.internal

Приватна имена захтевају резолвер организације

Приватна имена захтевају резолвер организације, а прегледач са сопственим безбедним DNS-ом може потпуно да заобиђе системско подешавање. Тако настаје збуњујући случај у којем упит из командне линије враћа адресу, а исто име и даље не успева у прегледачу.

Проверите који је адаптер обезбедио тренутну DNS конфигурацију пре него што било шта промените. Задржите резолвер организације за приватна имена уместо да га замените јавном услугом. Замена јавним резолвером обично поправи јавно име и поквари сва интерна, што је гора грешка од оне с којом сте почели. Ако веза пријављује успех, а ништа не ради, прођите кроз прослеђивање и DNS пре него што ресетујете мрежни стек.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Документација Microsoft-а о типовима VPN веза у Windows-у и додацима је референца за то који клијент обрађује који тип, и ниједна ознака у менију вам то не каже. Поново се повежите после сваке промене и поново испробајте праву апликацију уместо иконе стања. Сачувајте радни профил тамо где ћете га поново наћи и запишите резолвер и руту који су га покренули, јер следећем рачунару требају обоје.