VPN i Windows: matcha klienten mot profilen

Windows rapporterar att tunneln är ansluten medan intranätsidan fortfarande får timeout, och profilen kom från någon som sedan har slutat. Bakom det läget ligger två separata fel: fel klient för filen och fel förväntan om vad tunneln täcker. Att skilja dem åt kostar några kommandon och sparar en ominstallation. Inget av dem löses genom att starta om.

Den inbyggda klienten importerar bara sina egna typer

Windows levereras med en VPN-klient som förstår vissa anslutningstyper, och den importerar inte en OpenVPN-fil eller en WireGuard-konfiguration, oavsett vad filen heter. De behöver sin egen programvara, installerad från leverantörens verifierade nedladdningssida. En bekant post i nätverksmenyn är inte bevis för att servern stöder den, och en profil som döpts om med en bekant filändelse är fortfarande fel fil. Anslutningstypen måste matcha det operatören levererade, inte det menyn råkar erbjuda.

För en inbyggd anslutning lägger du till den via nätverksinställningarna och skriver in exakt de värden du fick. Certifikatbaserad IKEv2 och en ingångspunkt med användarnamn och lösenord är olika konfigurationer, även när båda hamnar under samma rubrik. Om en hanterad enhet redan tillhandahåller en anslutning använder du den i stället för att bygga en andra bredvid.

Inloggningsstegen är inte utbytbara

En anslutning kan kräva ett användarnamn och ett lösenord, ett klientcertifikat, en interaktiv fråga eller flera av dessa i följd. En lösenfras för en privat nyckel låser upp en nyckel och är inte tjänstens lösenord, även när båda skrivs in i samma dialog. En certifikatvarning handlar om identitet eller förtroende, inte om kontonamnet är rättstavat. Att läsa vilken av de tre som misslyckades avgör nästa steg.

Läs avvisningen i stället för att upprepa den. Ett autentiseringsfel och ett förtroendefel ser likadana ut i ett statusfönster och har inget gemensamt under: det första behöver en autentiseringsuppgift, det andra en kedja som klienten accepterar.

Håll autentiseringsuppgifter och certifikatmaterial borta från skärmbilder. Ett foto av en inställningssida kan avslöja en serveradress och ett sparat användarnamn på en gång, och en supporttråd är ett offentligt dokument oftare än folk förväntar sig. Maskera före publicering, inte efter att någon redan citerat det.

I PowerShell listar Get-VpnConnection vad Windows anser vara konfigurerat, inklusive poster som inställningsfönstret håller utom synhåll. Från en cmd-prompt ansluter rasdial efter anslutningsnamn och ipconfig /all visar vad adaptern faktiskt tog emot. De två skalen delar ingen parser, så klistra in varje rad i rätt skal.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Routtabellen avgör, inte adapterikonen

En företagstunnel kan bara routa kontorsdestinationer och låta vanligt surfande stanna på den lokala anslutningen, medan en fulltunnelprofil gör motsatsen. Öppna den faktiska resursen innan du avgör att något av de två beteendena är fel. Ikonen rapporterar adapterstatus, och svaret finns i routtabellen. De två är oense oftare än ett statusfönster medger.

Mer specifika poster kan skicka ett subnät in i tunneln medan standardrutten blir kvar utanför, och det är precis så en delad tunnel ska se ut. En saknad post är det andra vanliga utfallet, och från webbläsaren ser den identisk ut med en tunnel som ligger nere. Jämför prefixet du inte når med tabellen i stället för med ikonen. Det är därför ikonen och tabellen kan vara oense medan båda talar sanning om olika saker.

Ta inte bort rutter för att tabellen innehåller adaptrar du inte känner igen. En virtuell maskin, en filterdrivrutin eller en andra klient kan lägga till en var, och att ta bort den bryter något som tidigare fungerade.

route print -4
nslookup intranet.corp.internal

Privata namn behöver organisationens resolver

Privata namn behöver organisationens resolver, och en webbläsare med egen säker DNS kan kringgå systeminställningen helt. Det ger det förvirrande fallet där en sökning från kommandoraden returnerar en adress och samma namn fortfarande misslyckas i webbläsaren.

Kontrollera vilken adapter som levererade den aktuella DNS-konfigurationen innan du ändrar något. Behåll organisationens resolver för privata namn i stället för att ersätta den med en offentlig tjänst. Att byta till en offentlig resolver reparerar oftast ett offentligt namn och bryter alla interna, vilket är ett värre fel än det du började med. Om anslutningen rapporterar framgång och ingenting fungerar, gå igenom vidarebefordran och DNS innan du återställer nätverksstacken.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Microsofts dokumentation om Windows VPN-anslutningstyper och insticksprogram är referensen för vilken klient som hanterar vilken typ, och ingen menyetikett berättar det för dig. Anslut igen efter varje ändring och prova det riktiga programmet i stället för statusikonen. Spara den fungerande profilen där du kan hitta den igen, och anteckna resolvern och rutten som fick den att fungera, för nästa maskin behöver båda.