VPN trên Windows: ghép ứng dụng khách với hồ sơ

Windows báo đường hầm đã kết nối trong khi trang mạng nội bộ vẫn hết thời gian chờ, và hồ sơ đến từ một người đã rời đi từ lâu. Có hai lỗi riêng biệt đứng sau trạng thái đó: sai ứng dụng khách cho tệp và kỳ vọng sai về phạm vi đường hầm. Phân biệt hai điều này chỉ cần vài lệnh và tiết kiệm một lần cài lại. Không điều nào được sửa bằng cách khởi động lại.

Ứng dụng khách có sẵn chỉ nhập các loại của chính nó

Windows đi kèm một ứng dụng khách VPN hiểu một số loại kết nối nhất định, và nó sẽ không nhập tệp OpenVPN hay cấu hình WireGuard, bất kể tệp được đặt tên gì. Những loại đó cần phần mềm riêng, cài từ trang tải xuống đã xác minh của nhà cung cấp. Một mục quen thuộc trong menu mạng không phải bằng chứng máy chủ hỗ trợ nó, và hồ sơ được đổi tên bằng phần mở rộng quen thuộc vẫn là tệp sai. Loại kết nối phải khớp với thứ nhà vận hành cung cấp, không phải thứ menu tình cờ đưa ra.

Với kết nối gốc, hãy thêm nó qua cài đặt mạng và gõ chính xác các giá trị bạn được cấp. IKEv2 dựa trên chứng chỉ và điểm vào bằng tên người dùng và mật khẩu là hai cấu hình khác nhau dù cả hai nằm dưới cùng một tiêu đề. Nếu thiết bị được quản lý đã cung cấp kết nối, hãy dùng nó thay vì dựng thêm cái thứ hai bên cạnh.

Các bước đăng nhập không thay thế được cho nhau

Một kết nối có thể cần tên người dùng và mật khẩu, chứng chỉ ứng dụng khách, lời nhắc tương tác hoặc vài thứ trong số đó theo thứ tự. Cụm mật khẩu của khóa riêng mở khóa một khóa và không phải mật khẩu dịch vụ, dù cả hai được gõ trong cùng một hộp thoại. Cảnh báo chứng chỉ liên quan đến danh tính hoặc sự tin cậy, không phải việc tên tài khoản được viết đúng. Đọc xem cái nào trong ba cái đã hỏng sẽ quyết định bước tiếp theo.

Hãy đọc lời từ chối thay vì thử lại. Lỗi xác thực và lỗi tin cậy trông giống nhau trong cửa sổ trạng thái và không có điểm chung bên dưới: cái đầu cần thông tin xác thực, cái sau cần chuỗi mà ứng dụng khách chấp nhận.

Giữ thông tin xác thực và tài liệu chứng chỉ ngoài ảnh chụp màn hình. Ảnh của trang cài đặt có thể lộ địa chỉ máy chủ và tên người dùng đã lưu cùng lúc, và một luồng hỗ trợ là tài liệu công khai thường xuyên hơn người ta tưởng. Hãy che trước khi đăng, không phải sau khi ai đó đã trích dẫn.

Trong PowerShell, Get-VpnConnection liệt kê những gì Windows cho là đã cấu hình, kể cả các mục mà cửa sổ cài đặt giữ khuất tầm nhìn. Từ dấu nhắc cmd, rasdial kết nối theo tên kết nối và ipconfig /all hiển thị những gì bộ điều hợp thực sự nhận được. Hai trình bao không dùng chung bộ phân tích, nên hãy dán từng dòng vào đúng cái.

Get-VpnConnection
Get-VpnConnection -Name "Office" | Format-List Name,ServerAddress,AuthenticationMethod

rasdial "Office"
ipconfig /all

Bảng định tuyến quyết định, không phải biểu tượng bộ điều hợp

Một đường hầm công ty có thể chỉ định tuyến các đích trong văn phòng, để việc duyệt web thông thường trên kết nối cục bộ, trong khi hồ sơ đường hầm đầy đủ làm ngược lại. Hãy mở tài nguyên thực trước khi kết luận hành vi nào là sai. Biểu tượng báo trạng thái bộ điều hợp, và câu trả lời nằm trong bảng định tuyến. Hai thứ đó bất đồng thường xuyên hơn cửa sổ trạng thái thừa nhận.

Các mục cụ thể hơn có thể đưa một mạng con vào đường hầm trong khi tuyến mặc định ở ngoài, và đường hầm chia đôi phải trông đúng như vậy. Mục bị thiếu là kết quả phổ biến còn lại, và từ trình duyệt nó trông giống hệt một đường hầm đã chết. Hãy so sánh tiền tố bạn không đến được với bảng, không phải với biểu tượng. Đó là lý do biểu tượng và bảng có thể bất đồng trong khi cả hai đều nói thật về những thứ khác nhau.

Đừng xóa tuyến chỉ vì bảng có những bộ điều hợp bạn không nhận ra. Máy ảo, trình điều khiển lọc hoặc ứng dụng khách thứ hai đều có thể thêm một cái, và xóa nó sẽ làm hỏng thứ trước đó vẫn chạy.

route print -4
nslookup intranet.corp.internal

Tên riêng cần trình phân giải của tổ chức

Tên riêng cần trình phân giải của tổ chức, và trình duyệt có DNS bảo mật riêng có thể bỏ qua hoàn toàn cài đặt hệ thống. Điều đó tạo ra trường hợp khó hiểu khi truy vấn từ dòng lệnh trả về một địa chỉ mà cùng tên đó vẫn hỏng trong trình duyệt.

Kiểm tra bộ điều hợp nào đã cung cấp cấu hình DNS hiện tại trước khi thay đổi bất cứ điều gì. Giữ trình phân giải của tổ chức cho tên riêng thay vì thay bằng một dịch vụ công cộng. Thay bằng trình phân giải công cộng thường sửa được một tên công cộng và làm hỏng mọi tên nội bộ, đây là sự cố tệ hơn cái ban đầu. Nếu kết nối báo thành công mà không có gì hoạt động, hãy rà lại chuyển tiếp và DNS trước khi đặt lại ngăn xếp mạng.

Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName intranet.corp.internal

Tài liệu của Microsoft về các loại kết nối VPN của Windows và tiện ích bổ sung là nguồn tham chiếu cho việc ứng dụng khách nào xử lý loại nào, và không nhãn menu nào cho bạn biết điều đó. Kết nối lại sau mọi thay đổi và thử lại ứng dụng thật thay vì biểu tượng trạng thái. Lưu hồ sơ đang hoạt động ở nơi bạn tìm lại được, và ghi lại trình phân giải cùng tuyến đã làm nó chạy, vì máy tiếp theo sẽ cần cả hai.