Brug af en VPN på Windows er næsten et grundlæggende krav i disse dage. både til fjernarbejde og til browse mere sikkert Det er nemt at få adgang til internettet fra offentlige netværk, men når forbindelsen svigter, bliver oplevelsen en reel hovedpine. Godkendelsesfejl, beskeder med uforståelige numeriske koder eller en VPN, der opretter forbindelse, men derefter efterlader dig uden internet, er meget mere almindeligt, end du måske tror.
I denne guide finder du en Praktisk og meget omfattende teknisk support Denne guide diagnosticerer og løser problemer med VPN-forbindelse og konfiguration på Windows (herunder AOVPN, L2TP/IPsec, SSL og almindelige fejl såsom 800, 806, 809, 812, 13801, 13806 osv.). Vi dækker alt fra det grundlæggende (profiler, porte, firewalls) til certifikatproblemer, DNS-problemer, virtuelle TAP-adaptere, dobbelte VPN'er og beskadigede profiler, og giver trinvise løsninger og anbefalinger til en problemfri og stabil forbindelse.
Nøglebegreber i VPN-infrastruktur i Windows
Før du begynder at justere indstillingerne, er det en god idé at forstå hvilke brikker der kommer i spil Når du opretter forbindelse til en VPN på Windows, gør det at kende det "store billede" det meget nemmere at finde ud af, hvad der går galt.
En typisk VPN med fjernadgang involverer mindst disse elementer:
- VPN-klient (Windows- eller udbyderapp).
- VPN-server eller koncentrator.
- Firewall/router, der styrer trafikken til den pågældende server.
- Netværkskort (fysiske og virtuelle).
- Protokol-/tunnelkonfiguration (L2TP/IPsec, SSTP, IKEv2, SSL osv.).
- Tjenester som NPS, Active Directory og certifikatinfrastrukturer i virksomhedsmiljøer.
I det konkrete tilfælde af Altid på VPN (AOVPN) Tingene bliver lidt mere komplicerede, fordi forbindelsen oprettes automatisk, så snart Windows starter. Dette involverer også distribuerede konfigurationsprofiler, implementeringsscripts, politikker for betinget adgang og de computer- og servercertifikater, som Windows bruger til at forhandle IPsec.
Den gode nyhed er det De fleste forbindelsesproblemer opstår konstantBlokerede porte, ugyldige certifikater, forkert valgte protokoller, forkerte legitimationsoplysninger, forkert konfigureret DNS, beskadigede netværksdrivere eller en overdrevent beskyttende firewall. At vide dette vil hjælpe dig med at komme direkte til sagen.
Sådan opretter du en VPN-profil korrekt i Windows 10/11
Mange fejl opstår simpelthen fordi VPN-profilen er oprettet forkert., med forkerte serverdata, den forkerte type VPN eller et godkendelsessystem, der ikke matcher serversiden.
I Windows er standardmetoden til oprettelse af en integreret profil som følger: og en Hjem > Indstillinger > Netværk og internet > VPN > Tilføj en VPN-forbindelseI "VPN-udbyder" skal du vælge Windows (indlejret)Indtast et genkendeligt navn til forbindelsen, indtast servernavnet eller -adressen (uden http, skråstreger eller andre specialsymboler), og vælg den VPN-type, der kræves af din virksomhed eller udbyder (f.eks. L2TP/IPsec med en foruddelt nøgle, IKEv2, PPTP osv.). For flere oplysninger om oprettelse af en profil, se [link til relevant dokumentation]. Sådan opretter du en VPN på Windows.
Akkrediteringsaspektet er også afgørendeI "Logininformationstype" skal du vælge den korrekte metode (brugernavn/adgangskode, certifikat, smartkort eller engangsadgangskode) og udfylde brugernavn og adgangskode, hvis du vil have dem gemt, ved hjælp af en adgangskodeadministratorHvis disse oplysninger ændres, skal du redigere dem bagefter for at undgå godkendelsesfejl.
Når profilen er gemt, kan du gå til "Avancerede indstillinger" for at justere parametre såsom brugen af den eksterne standardgateway, proxyindstillinger, tilladte protokoller, eller om forbindelsen bruges til al trafik eller kun til bestemte netværk.
VPN-forbindelse og internetadgang: grundlæggende betjening
Når Windows markerer en VPN som "Tilsluttet", betyder det blot, at tunnelen er etableret.Det garanterer ikke internetadgang. Trafikken kan stadig sidde fast når som helst: DNS, firewall, routing, fjernserver osv.
Sådan opretter du manuel forbindelse til en VPN, der allerede har en oprettet profilKlik på netværksikonet på proceslinjen, vælg forbindelsesnavnet, og klik på "Opret forbindelse". Hvis afsnittet VPN-indstillinger åbnes, skal du vælge forbindelsen og klikke på "Opret forbindelse" der.
Hvis serveren accepterer dine loginoplysninger, vil du se statussen "Tilsluttet". under VPN-navnet. Fra det tidspunkt kan al din trafik, afhængigt af hvordan du har konfigureret det, gå gennem VPN'en (fuld tunnel) eller kun bestemte netværksområder (delt tunnel). Hvis du har aktiveret indstillingen "brug fjernnetværkets standardgateway", er det normalt, at al trafik går gennem VPN'en, hvilket kan forårsage tab af internetadgang, hvis serveren eller dens routing ikke er konfigureret korrekt.
Når VPN'en opretter forbindelse, men der ikke er internet.Problemet skyldes næsten altid DNS, forkert routing, den lokale firewall eller VPN-serveren, der ikke omdirigerer udgående trafik korrekt. Nedenfor finder du et specifikt afsnit om dette scenarie, som er et af de mest almindelige.
Typiske VPN-forbindelsesfejl i Windows (800, 806, 809, 812, 720, 787…)
Windows viser mange VPN-problemer som numeriske koder som ved første øjekast er lidt skræmmende. Heldigvis har de fleste af dem meget specifikke årsager og kendte løsninger.
Fejl 800: Fjernforbindelse kunne ikke oprettes
800-koden angiver normalt, at tunnelen rejser sig ikke engangVPN-serveren svarer muligvis ikke, en firewall blokerer muligvis trafik, eller der mangler muligvis sikkerhedsparametre for L2TP/IPsec.
Almindelige trin til at rette detKontrollér, at servernavnet eller IP-adressen er korrekt og tilgængelig (ping om nødvendigt), bekræft, at de nødvendige porte er åbne på routeren/firewallen (f.eks. TCP 1723 for PPTP, UDP 500/4500 for IPsec, 443 for SSTP eller SSL), og validér, at den valgte VPN-type på klienten matcher serverens.
Fejl 806: Forbindelsen mellem din computer og VPN'en er blokeret
Fejl 806 indikerer det Noget skærer tunnelen halvvejs igennem.Det er normalt firewallen (Windows eller tredjepart) eller i nogle tilfælde et antivirusprogram, der inspicerer trafikken og ikke forstår GRE-protokollen eller andre protokoller, der bruges af VPN'en, ordentligt.
HurtigtestDeaktiver midlertidigt din firewall, og hvis det virker, skal du oprette en regel, der tillader VPN-trafik, og – meget vigtigt – åbne TCP-port 1723 (PPTP) eller de porte, der bruges af din specifikke løsning. Det er også en god idé at kontrollere, at dit antivirusprogram ikke aggressivt filtrerer denne trafik.
Fejl 809: Fjernserveren svarer ikke
Fejl 809 vises normalt når firewallen eller den mellemliggende router ikke tillader VPN-trafikIsær efter NAT eller ved brug af IPsec/IKEv2. Selv uden en tredjeparts firewall kan en NAT-enhed forårsage problemer.
En almindeligt anvendt avanceret løsning er at justere Windows-registreringsdatabasen tilføjelse af nøglen AssumeUDPEncapsulationContextOnSendRule en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgentved at indstille en 32-bit DWORD-værdi til 2 og derefter genstarte computeren. Kontroller desuden, at UDP-portene 500 og 4500, og den port, der svarer til den valgte protokol, er åbne i firewallen.
Fejl 812, 13801, 13806 og certifikatkoder
I virksomhedsmiljøer med AOVPN er fejl relateret til certifikater og politikker meget almindelige.:
- 812RAS- eller VPN-serverpolitikken forhindrer forbindelsen, fordi serverens godkendelsesmetode ikke matcher klientens profil.
- 13806IKE kan ikke finde et gyldigt udstyrscertifikat fra kunden.
- 13801IKE-godkendelsesoplysninger er uacceptable (ugyldigt certifikat, udløbet certifikat, upålidelig kæde osv.).
- 0x80070040Servercertifikatet inkluderer ikke brugen af "Servergodkendelse".
- 0x800B0109Rodcertifikatet er ikke fra en certificeringsmyndighed, som klienten anser for at være troværdig.
I alle disse tilfælde er det nødvendigt at Undersøg PKI'en nøjeat servercertifikatet er udstedt af en betroet CA, i det relevante lager og med de korrekte anvendelser; at klienten har rod- og, hvis relevant, mellemliggende certifikater installeret; og at AOVPN-profilen peger på det korrekte certifikat, ikke det første RRAS finder i lageret.
Andre almindelige fejl: 720, 787 og problemer med MS-CHAPv2
Fejl 720 opstår normalt, når WAN (IP) miniportadapteren ikke er korrekt bundetGeninstallation af adapteren fra Enhedshåndtering løser det normalt.
Fejl 787 i L2TP/IPsec-forbindelser Dette skyldes normalt servercertifikater, der indeholder jokertegn eller certifikater udstedt af en uventet CA. RRAS kan vælge det første certifikat, den finder, ikke nødvendigvis det, der er egnet til L2TP, og dette bryder IPsec-sikkerhedstilknytningen.
I scenarier med L2TP/IPsec ved hjælp af MS-CHAPv2 kan der også opstå fejl, hvis værdien LmCompatibilityLevel ændres på domænecontrolleren. Med hensyn til standardindstillingerne afbryder dette godkendelsen.
Problemer med AOVPN (Always On VPN) forbindelse på Windows
AOVPN automatiserer tilslutningen af virksomhedsudstyr, men det gør også fejl mere besværlige.fordi brugeren ikke engang manuelt åbner VPN'en: systemet forsøger at sætte tunnelen op i baggrunden, og hvis noget fejler, ser du bare, at du ikke har adgang til virksomhedens netværk.
De mest almindelige årsager til, at AOVPN ikke kan oprette forbindelse, er:
Ugyldige eller manglende udstyrscertifikater.
Inkonsistente NPS-direktiver.
Dårligt udførte implementeringsscripts.
Problemer med routing- og fjernadgangstjenesten på serveren.
Specifikke AOVPN-koder, du skal holde øje med800, 809, 812, 13801, 13806 og de tidligere nævnte certifikatfejl. En lille fejl i XML-profildefinitionen, i certifikattildelingen eller i Microsoft Entras politik for betinget adgang kan ødelægge hele opsætningen.
Det er nøglen Gennemgå den komplette rejse, som en AOVPN-kunde tager. Ved forsøg på at oprette forbindelse: VPN-server DNS-opløsning, certifikatvalidering, IKE/IPsec-forhandling, NPS-politikanvendelse og endelig IP- og rutetildeling. Ethvert svagt led bryder kæden.
VPN-forbundet, men uden internet: årsager og løsninger
Dette scenarie er et af de mest desperate: VPN'en siger, at den er forbundet, men browseren indlæser ikke noget.Problemet ligger normalt i DNS, routing eller en firewall, der blokerer reel trafik, selvom den tillader etablering af tunnelen.
- Først skal du kontrollere, at din "normale" internetforbindelse fungerer.Afbryd VPN'en, og surf på internettet. Hvis du stadig ikke kan få adgang til internettet, er problemet ikke med VPN'en, men med dit netværk (router, Wi-Fi, internetudbyder osv.). Genstart din router, tjek kablerne, prøv et andet netværk, eller kontakt din internetudbyder.
- Hvis du kan browse uden at have VPN-forbindelsen, skal du kigge i Windows.Bekræft, at din VPN-applikation er opdateret, prøv at skifte servere i selve klienten (mange servere bliver overbelastede eller går ned), og skift protokollen, hvis det er nødvendigt. din leverandør Det tillader det (for eksempel fra UDP til TCP eller til en mere moderne protokol).
- Et trick, der løser en hel del tilfælde, er at rydde Windows DNS-cachen.Åbn kommandoprompten som administrator og kør
ipconfig /flushdnsDette rydder beskadigede DNS-poster, der muligvis peger på forkerte opløsninger, når du går ind i tunnelen. - Glem ikke dit antivirusprogram og din firewallDe kan tillade VPN'en at oprette forbindelse, men blokere efterfølgende DNS- eller HTTP/HTTPS-anmodninger. Deaktiver midlertidigt din antivirus/firewall for at teste, og hvis det løser problemet, skal du oprette specifikke regler, der tillader VPN-appen og de involverede porte at fungere uden begrænsninger.
Problemer med DNS og navnefortolkning ved brug af VPN
Når Windows viser fejlmeddelelser om "domænenavnsopløsning", når du bruger en VPN, er der normalt en DNS-konflikt som din computer bruger, og dem som VPN-tunnelen forventer, eller den offentlige DNS, du har konfigureret, ikke matcher VPN-kravene.
Standardløsningen er skift DNS-serverne på netværksgrænsefladen som du bruger: gå til Hjem > Indstillinger > Netværk og internet > Skift adapterindstillingerHøjreklik på det kort, du bruger, vælg "Egenskaber", Internetprotokol version 4 (TCP / IPv4)Klik på "Egenskaber" og marker "Brug følgende DNS-serveradresser".
du kan komme ind Pålidelig offentlig DNS såsom dem fra Google (8.8.8.8 og 8.8.4.4) eller Cloudflare (1.1.1.1 og 1.0.0.1)Gem, afbryd og genopret forbindelsen til VPN'en. I mange tilfælde forsvinder løsningsfejlen øjeblikkeligt.
Hvis problemet fortsætter, Vi bør være mistænksomme over for selve VPN'en.Nogle gratis udbydere administrerer ikke DNS godt, leverer ikke interne servere i virksomhedsmiljøer eller gennemtvinger DNS-løsninger, der er i konflikt med din lokale konfiguration. At skifte udbyder, ideelt set til en betalt og velrenommeret udbyder, er normalt den bedste løsning.
Firewall, router og porte: den mest almindelige flaskehals
Meget af Fejl 800, 806 og 809 løses ved at angribe det samme punkt: firewall og routerI sidste ende er en VPN intet andet end krypteret trafik gennem specifikke porte; hvis disse porte er lukkede, er den ubrugelig.
- I Windows Defender-firewallen kan du oprette regler for indgående og udgående trafik. der tillader trafik for VPN-applikationen og for de porte, der bruges af den valgte protokol. For PPTP skal du sørge for, at TCP-port 1723 og GRE-protokollen er godkendt; for L2TP/IPsec skal du kontrollere UDP-port 500 og 4500; for SSL eller SSTP bruges TCP-port 443 typisk.
- Det kan også være nødvendigt på din netværksrouter. åbne eller omdirigere porte til den interne VPN-server, hvis det er din egen infrastruktur. I virksomhedsnetværk administreres dette normalt af systemteamet, men derhjemme, hvis du konfigurerer din egen VPN-server eller bruger en router med integreret VPN, skal du kontrollere dens port forwarding-sektion.
Hvis du oplever, at VPN'en fungerer med firewallen deaktiveret, men ikke med den aktiveret, er det din test. Den bedste fremgangsmåde er ikke at deaktivere firewallen helt, men snarere at finjustere reglerne, indtil tunnelen fungerer uden at gå på kompromis med systemsikkerheden.
TAP-Windows-adapter og andre virtuelle adaptere
Mange VPN'er installeres en virtuel adapter kaldet TAP-Windows (eller lignende) som fungerer som et "dummy-netværkskort", hvorigennem krypteret trafik passerer. Hvis denne adapter fejler, går hele tjenesten ned.
Når TAP-adapteren sidder fast, kan du bemærke disse symptomer:
- VPN'en opretter forbindelse, men netværket svarer ikke.
- Forbindelsen afbrydes efter et stykke tid.
- Dit normale netværk påvirkes, selv uden en aktiv tunnel.
Dette skyldes normalt beskadigede drivere, ufuldstændige Windows-opdateringer eller konflikter med andre adaptere.
Nemt første trin: genstart adapterenI "Skift adapterindstillinger" skal du finde TAP-Windows, deaktivere det ved at højreklikke, og derefter aktivere det igen. Nogle gange får det tingene til at fungere igen.
Hvis det ikke virker, er næste skridt at geninstallere.Afinstaller VPN'en, genstart din computer, og geninstaller den nyeste version af klienten. Hvis det stadig ikke virker, skal du gå til Enhedshåndtering, finde TAP-adapteren under "Netværksadaptere", afinstallere den og lade VPN-installationsprogrammet oprette den igen. I nogle tilfælde kan du endda tilføje en ny TAP-adapter og bruge den i stedet for den gamle. For at vælge en pålidelig klient kan du se muligheder og sammenligninger.
Dobbelt VPN, der ikke virker på Windows
Opkaldet "Dobbelt VPN" Det tilføjer et andet tunnellag, hvor to VPN-servere kædes sammen for at styrke privatlivets fred. Det lyder godt, men i praksis mangedobler det antallet af punkter, hvor noget kan sidde fast.
Hvis den dobbelte VPN ikke opretter forbindelse, eller opretter forbindelse, men ikke tillader browsing, er der flere fronter at gennemgå:
- Automatiske forbindelsesindstillinger (som muligvis forsøger at oprette forbindelse til den første server, som om den var den eneste).
- Brug af brugerdefineret DNS i VPN'en.
- Tilstedeværelse af aktive proxyer i Windows.
Nogle konkrete anbefalingerDeaktiver brugerdefineret DNS i VPN-appen, hvis du bruger dem, og deaktiver eventuelle manuelle proxyer. Indstillinger > Netværk og internet > Proxyryd DNS-cachen med ipconfig /flushdns Og prøv at ændre det serverpar, der bruges til den dobbelte VPN. Ofte er det et midlertidigt problem med en overbelastet server. Hvis du leder efter alternativer til at styrke privatlivets fred, så overvej også, hvad en Decentraliseret VPN.
hjælper også Prøv andre protokoller inden for den samme VPN (hvor det er muligt): nogle håndterer sammenkædede scenarier bedre end andre, og ydeevne og stabilitet kan forbedres betydeligt.
Avanceret VPN-forbindelsesstyring i Windows: eksporter, importer og slet profiler
En professionelle miljøer Det er almindeligt at skulle migrere VPN-profiler mellem computere eller rydde op i forældede konfigurationer, der kun forårsager fejl. Windows giver dig mulighed for at eksportere og importere forbindelser uden at være afhængig af eksterne programmer.
til Eksportér VPN-forbindelser oprettet med den indbyggede Windows-klient, få adgang til ruten %AppData%\Microsoft\Network\Connections (Du kan indsætte den i adresselinjen i Stifinderen). Indeni finder du en mappe kaldet PbkDu skal blot kopiere den til et USB-drev eller et andet sted, og derefter indsætte den på samme sted på en anden computer for at have de samme forbindelser der.
Hvis du har brug for det slet helt VPN-profiler, som du ikke længere brugerDu kan gøre dette flere steder: i Indstillinger > Netværk og internet > VPN skal du vælge forbindelsen og klikke på "Fjern"; i Kontrolpanel skal du Netværks- og delingscenter > Skift adapterindstillingerved at fjerne forbindelsen; eller ved at bruge kommandoer som f.eks. rasphone -R "Nombre" i kommandoprompten (administrator) eller Remove-VpnConnection -Name "Nombre" -Force i PowerShell.
Med klienter som OpenVPN, WireGuard eller specifikke kommercielle løsninger Det er ikke en god idé at slette virtuelle grænseflader fra kontrolpanelet, da du kan slette alle dine profiler. I disse tilfælde kan du administrere sletningen indefra selve applikationen, eller, hvis det er OpenVPN, ved at slette konfigurationsfilerne i mappen. config bruger.
Ændring og sikring af din VPN-adgangskode på Windows
Hvis du bruger den indbyggede Windows-klient til at oprette forbindelse til en virksomheds-VPN, bliver du på et tidspunkt nødt til at ændre adgangskode (fordi den udløber, på grund af virksomhedens politik, eller fordi du har oplevet en godkendelsesfejl).
For at ændre den nøgle, der er gemt i en Windows VPN-profil, skal du gå til Hjem > Indstillinger > Netværk og internet > VPNVælg forbindelsen, gå til "Avancerede indstillinger" og find feltet "Adgangskode". Indtast den nye adgangskode, gem ændringerne, og test forbindelsen.
Med hensyn til sikkerhed, Det er vigtigt ikke at genbruge adgangskoderIdeelt set bør din VPN have en unik, lang adgangskode (mindst 12-16 tegn) med store og små bogstaver, tal og symboler, og den bør ikke være et ord eller en information, der direkte identificerer dig. En adgangskodeadministrator gør dette meget nemmere.
Hvis VPN'en integrerer med din domænebruger (Active Directory), skal du huske det Adgangskodeændringen udføres ikke fra VPN-profilen, men fra Windows-kontoen eller de sædvanlige virksomhedsmekanismer.Profilen vil blot bruge de nye loginoplysninger næste gang du forsøger at oprette forbindelse.
Hvornår skal man indsamle spor og kontakte specialiseret support
Der er situationer, hvor uanset hvor mange typiske indstillinger du prøver, VPN'en fortsætter med blankt at afvise.Hvis du arbejder i et Microsoft-virksomhedsmiljø, giver det mening at indsamle oplysninger, før du opretter en supportsag til virksomheden.
Microsoft anbefaler at bruge deres fejlfindingsscripts (TSS) til at indsamle detaljerede oplysninger. både på klienten og serveren. Du skal køre dem med en konto, der har administratorrettigheder, acceptere EULA'en første gang og sikre, at PowerShell-udførelsespolitikken tillader det. RemoteSigned.
Den sædvanlige procedure er:
- Download TSS til C:\tss.
- Åbn et forhøjet PowerShell-vindue i den mappe.
- Start cmdlet'erne for at starte sporing på klienten og serveren.
- Genskab problemet.
- Færdiggør indsamlingen ved at indtaste "Y", når du bliver bedt om det. Logfilerne pakkes i en ZIP-fil i C:\MS_DATA, som du derefter kan sende til support.
I komplekse implementeringer, der involverer AOVPN, NPS, Entra ID og certifikaterDisse typer spor gør forskellen på at gå i blinde i dagevis eller at finde en politik- eller PKI-fejl i en enkelt gennemgang foretaget af en tekniker på sekundært niveau.
I slutningenAt have en stabil VPN på Windows kræver at man mestrer et par grundlæggende ting.For at fejlfinde problemer er det vigtigt at oprette din profil korrekt, forstå hvilke porte og protokoller dine tunneler bruger, administrere din firewall og router, holde din klient og dine drivere opdaterede, overvåge dine DNS-indstillinger og forstå almindelige fejl (800, 806, 809, 812, 13801, 13806, TAP-problemer, inaktiv SSL, dobbelt VPN osv.). Med dette fundament kan de fleste problemer løses på få minutter. I mere genstridige tilfælde kan du altid bruge avancerede spor eller, hvis tjenesten er en tredjepart, søge support fra et pålideligt teknisk team og en betroet VPN-udbyder.
