VPN บน Windows: จับคู่ไคลเอนต์กับโปรไฟล์

Windows รายงานว่าอุโมงค์เชื่อมต่อแล้ว แต่หน้าเว็บอินทราเน็ตยังหมดเวลาอยู่ และโปรไฟล์มาจากคนที่ลาออกไปแล้ว มีข้อผิดพลาดสองอย่างที่แยกจากกันอยู่เบื้องหลังสภาพนั้น: ไคลเอนต์ผิดสำหรับไฟล์ และความคาดหวังผิดเกี่ยวกับสิ่งที่อุโมงค์ครอบคลุม การแยกสองอย่างนี้ต้องใช้ไม่กี่คำสั่งและประหยัดการติดตั้งใหม่ ทั้งสองอย่างไม่หายด้วยการรีบูต

ไคลเอนต์ในตัวนำเข้าเฉพาะชนิดของตัวเอง

Windows มาพร้อมไคลเอนต์ VPN ที่เข้าใจชนิดการเชื่อมต่อบางประเภท และจะไม่นำเข้าไฟล์ OpenVPN หรือการตั้งค่า WireGuard ไม่ว่าไฟล์จะชื่ออะไร สิ่งเหล่านั้นต้องใช้ซอฟต์แวร์ของตัวเอง ติดตั้งจากหน้าดาวน์โหลดที่ตรวจสอบแล้วของผู้ให้บริการ รายการที่คุ้นเคยในเมนูเครือข่ายไม่ใช่หลักฐานว่าเซิร์ฟเวอร์รองรับ และโปรไฟล์ที่เปลี่ยนชื่อด้วยนามสกุลที่คุ้นเคยก็ยังเป็นไฟล์ผิด ชนิดการเชื่อมต่อต้องตรงกับสิ่งที่ผู้ดูแลให้มา ไม่ใช่สิ่งที่เมนูบังเอิญเสนอ

สำหรับการเชื่อมต่อแบบเนทีฟ ให้เพิ่มผ่านการตั้งค่าเครือข่ายและพิมพ์ค่าที่ได้รับมาอย่างแม่นยำ IKEv2 ที่ใช้ใบรับรองกับจุดเข้าใช้ชื่อผู้ใช้และรหัสผ่านเป็นการตั้งค่าที่ต่างกัน แม้ทั้งสองจะอยู่ภายใต้หัวข้อเดียวกัน หากอุปกรณ์ที่จัดการอยู่มีลิงก์อยู่แล้ว ให้ใช้อันนั้นแทนการสร้างอันที่สองข้างๆ

ขั้นตอนลงชื่อเข้าใช้แทนกันไม่ได้

การเชื่อมต่ออาจต้องใช้ชื่อผู้ใช้และรหัสผ่าน ใบรับรองไคลเอนต์ การถามตอบแบบโต้ตอบ หรือหลายอย่างรวมกันตามลำดับ วลีรหัสของกุญแจส่วนตัวใช้ปลดล็อกกุญแจและไม่ใช่รหัสผ่านของบริการ แม้ทั้งสองจะพิมพ์ในกล่องโต้ตอบเดียวกัน คำเตือนใบรับรองเกี่ยวกับตัวตนหรือความไว้วางใจ ไม่ใช่ว่าชื่อบัญชีสะกดถูกหรือไม่ การอ่านว่าสิ่งใดในสามอย่างล้มเหลวเป็นตัวกำหนดขั้นต่อไป

อ่านการปฏิเสธแทนการลองซ้ำ ความล้มเหลวในการพิสูจน์ตัวตนกับความล้มเหลวด้านความไว้วางใจดูคล้ายกันในหน้าต่างสถานะ แต่ข้างในไม่เหมือนกันเลย อย่างแรกต้องใช้ข้อมูลรับรอง อย่างที่สองต้องใช้ห่วงโซ่ที่ไคลเอนต์ยอมรับ

เก็บข้อมูลรับรองและวัสดุใบรับรองออกจากภาพหน้าจอ ภาพหน้า Settings ภาพเดียวอาจเปิดเผยที่อยู่เซิร์ฟเวอร์และชื่อผู้ใช้ที่บันทึกไว้พร้อมกัน และกระทู้ช่วยเหลือก็เป็นเอกสารสาธารณะบ่อยกว่าที่คนคิด ปิดข้อมูลก่อนโพสต์ ไม่ใช่หลังมีคนอ้างไปแล้ว

ใน PowerShell คำสั่ง Get-VpnConnection แสดงสิ่งที่ Windows คิดว่าตั้งค่าไว้ รวมถึงรายการที่หน้าต่างการตั้งค่าซ่อนไว้ จากพรอมป์ cmd คำสั่ง rasdial เชื่อมต่อตามชื่อการเชื่อมต่อ และ ipconfig /all แสดงสิ่งที่อะแดปเตอร์ได้รับจริง สองเชลล์ไม่ได้ใช้ตัวแยกวิเคราะห์เดียวกัน จึงต้องวางแต่ละบรรทัดในเชลล์ที่ถูกต้อง

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

ตารางเส้นทางเป็นตัวตัดสิน ไม่ใช่ไอคอนอะแดปเตอร์

อุโมงค์องค์กรอาจกำหนดเส้นทางเฉพาะปลายทางในสำนักงาน โดยปล่อยการท่องเว็บปกติไว้บนการเชื่อมต่อท้องถิ่น ขณะที่โปรไฟล์อุโมงค์เต็มทำตรงกันข้าม เปิดทรัพยากรจริงก่อนตัดสินว่าพฤติกรรมใดผิด ไอคอนรายงานสถานะอะแดปเตอร์ และคำตอบอยู่ในตารางเส้นทาง สองอย่างนี้ไม่ตรงกันบ่อยกว่าที่หน้าต่างสถานะยอมรับ

รายการที่เจาะจงกว่าอาจส่งซับเน็ตเข้าไปในอุโมงค์ขณะที่เส้นทางเริ่มต้นอยู่ข้างนอก และนั่นคือลักษณะที่ถูกต้องของอุโมงค์แบบแยก รายการที่หายไปเป็นผลลัพธ์ที่พบบ่อยอีกแบบ และจากเบราว์เซอร์ดูเหมือนอุโมงค์ที่ล่มไม่ต่างกัน เปรียบเทียบคำนำหน้าที่เข้าไม่ถึงกับตาราง ไม่ใช่กับไอคอน นี่คือเหตุที่ไอคอนกับตารางขัดกันได้ทั้งที่ทั้งคู่พูดความจริงคนละเรื่อง

อย่าลบเส้นทางเพียงเพราะตารางมีอะแดปเตอร์ที่ไม่รู้จัก เครื่องเสมือน ไดรเวอร์ตัวกรอง หรือไคลเอนต์ตัวที่สองอาจเพิ่มเข้ามาตัวละหนึ่ง และการลบมันจะทำให้สิ่งที่เคยทำงานพัง

route print -4
nslookup intranet.corp.internal

ชื่อภายในต้องใช้ตัวแก้ไขชื่อขององค์กร

ชื่อภายในต้องใช้ตัวแก้ไขชื่อขององค์กร และเบราว์เซอร์ที่มี DNS ปลอดภัยของตัวเองอาจข้ามการตั้งค่าระบบไปทั้งหมด นี่ทำให้เกิดกรณีที่สับสนเมื่อการค้นหาจากบรรทัดคำสั่งคืนที่อยู่ แต่ชื่อเดียวกันยังล้มเหลวในเบราว์เซอร์

ตรวจสอบว่าอะแดปเตอร์ตัวใดให้การตั้งค่า DNS ปัจจุบันก่อนเปลี่ยนอะไร เก็บตัวแก้ไขชื่อขององค์กรไว้สำหรับชื่อภายในแทนการแทนที่ด้วยบริการสาธารณะ การเปลี่ยนไปใช้ตัวแก้ไขสาธารณะมักซ่อมชื่อสาธารณะและทำให้ชื่อภายในทั้งหมดพัง ซึ่งแย่กว่าปัญหาตั้งต้น หากการเชื่อมต่อรายงานว่าสำเร็จแต่ไม่มีอะไรทำงาน ให้ตรวจการส่งต่อและ DNS ก่อนรีเซ็ตสแตกเครือข่าย

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

เอกสารของ Microsoft เกี่ยวกับ ชนิดการเชื่อมต่อ VPN ของ Windows และปลั๊กอิน เป็นแหล่งอ้างอิงว่าไคลเอนต์ใดจัดการชนิดใด และไม่มีป้ายใดในเมนูบอกคุณเรื่องนั้น เชื่อมต่อใหม่หลังการเปลี่ยนแปลงใดๆ และลองแอปพลิเคชันจริงอีกครั้งแทนไอคอนสถานะ บันทึกโปรไฟล์ที่ใช้งานได้ในที่ที่หาเจออีกครั้ง และจดตัวแก้ไขชื่อกับเส้นทางที่ทำให้มันทำงาน เพราะเครื่องถัดไปจะต้องใช้ทั้งสองอย่าง