VPN у Windows: підберіть клієнт під профіль

Windows повідомляє, що тунель підключено, а сторінка внутрішньої мережі досі не відповідає, і профіль надійшов від людини, яка вже давно звільнилася. За цим станом стоять дві окремі помилки: не той клієнт для файлу і хибне очікування того, що охоплює тунель. Щоб їх розрізнити, потрібно кілька команд, і це економить перевстановлення. Жодну з них не виправляє перезавантаження.

Вбудований клієнт імпортує лише свої типи

Windows постачає клієнт VPN, який розуміє певні типи з’єднань, і він не імпортує файл OpenVPN або конфігурацію WireGuard, хоч би як називався файл. Їм потрібна власна програма, встановлена з перевіреної сторінки завантаження постачальника. Знайомий запис у меню мережі не є доказом, що сервер його підтримує, а профіль, перейменований зі знайомим розширенням, усе одно залишається неправильним файлом. Тип з’єднання має відповідати тому, що надав оператор, а не тому, що випадково пропонує меню.

Для власного з’єднання додайте його через мережеві параметри й введіть саме ті значення, які вам дали. IKEv2 на основі сертифіката й точка входу з іменем користувача та паролем — різні конфігурації, навіть коли обидві опиняються під одним заголовком. Якщо керований пристрій уже надає з’єднання, використовуйте його, а не будуйте друге поруч.

Кроки входу не є взаємозамінними

З’єднання може вимагати імені користувача й пароля, сертифіката клієнта, інтерактивного запиту або кількох із них послідовно. Парольна фраза приватного ключа розблоковує ключ і не є паролем служби, навіть коли обидва вводяться в одному діалозі. Попередження про сертифікат стосується ідентичності або довіри, а не того, чи правильно написано ім’я облікового запису. Розуміння, що саме з трьох не спрацювало, визначає наступний крок.

Прочитайте відмову, а не повторюйте її. Помилка автентифікації й помилка довіри виглядають однаково у вікні стану і не мають нічого спільного всередині: першій потрібні облікові дані, другій — ланцюжок, який клієнт приймає.

Тримайте облікові дані та матеріали сертифікатів поза знімками екрана. Фотографія сторінки налаштувань може одночасно розкрити адресу сервера й збережене ім’я користувача, а тема підтримки частіше, ніж люди очікують, виявляється публічним документом. Замаскуйте до публікації, а не після того, як хтось уже процитував.

У PowerShell Get-VpnConnection перелічує те, що Windows вважає налаштованим, включно із записами, які вікно параметрів тримає поза полем зору. З командного рядка cmd rasdial підключається за назвою з’єднання, а ipconfig /all показує, що адаптер справді отримав. Дві оболонки не використовують один розбірник, тож вставляйте кожен рядок у потрібну.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Вирішує таблиця маршрутів, а не значок адаптера

Корпоративний тунель може маршрутизувати лише офісні призначення, залишаючи звичайний перегляд на локальному з’єднанні, а профіль повного тунелю робить навпаки. Відкрийте справжній ресурс, перш ніж вирішувати, що якась із двох поведінок неправильна. Значок повідомляє стан адаптера, а відповідь міститься в таблиці маршрутів. Ці двоє розходяться частіше, ніж визнає вікно стану.

Конкретніші записи можуть надсилати підмережу в тунель, поки маршрут за замовчуванням залишається ззовні, і саме так має виглядати розділений тунель. Відсутній запис — інший частий результат, і з браузера він виглядає так само, як тунель, що впав. Порівнюйте префікс, до якого не доходить, із таблицею, а не зі значком. Тому значок і таблиця можуть розходитися, хоча обидва кажуть правду про різні речі.

Не видаляйте маршрути лише через те, що в таблиці є незнайомі адаптери. Віртуальна машина, драйвер фільтра або другий клієнт можуть додати по одному, а видалення ламає те, що раніше працювало.

route print -4
nslookup intranet.corp.internal

Приватним іменам потрібен розв’язувач організації

Приватним іменам потрібен розв’язувач організації, а браузер із власним безпечним DNS може повністю обійти системне налаштування. Через це виникає заплутаний випадок, коли запит із командного рядка повертає адресу, а те саме ім’я в браузері все одно не відкривається.

Перш ніж щось змінювати, перевірте, який адаптер надав поточну конфігурацію DNS. Зберігайте розв’язувач організації для приватних імен, а не замінюйте його публічним сервісом. Заміна на публічний розв’язувач зазвичай виправляє публічне ім’я і ламає всі внутрішні, що гірше за початкову проблему. Якщо з’єднання повідомляє про успіх, а нічого не працює, пройдіться переадресацією та DNS, перш ніж скидати мережевий стек.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Документація Microsoft про типи VPN-з’єднань Windows і додатки — це довідка про те, який клієнт обробляє який тип, і жоден підпис у меню вам цього не скаже. Після будь-якої зміни перепідключіться й перевірте справжню програму, а не значок стану. Збережіть робочий профіль там, де знайдете його знову, і запишіть розв’язувач та маршрут, які змусили його працювати, бо наступній машині знадобиться і те, і те.