Používání VPN ve Windows je v dnešní době téměř základním požadavkem. jak pro práci na dálku, tak pro prohlížejte bezpečněji z veřejných sítí, ale když se připojení přeruší, stává se to skutečnou bolestí hlavy. Chyby při ověřování, zprávy s nesrozumitelnými číselnými kódy nebo VPN, která se připojí, ale nechá vás bez internetu, jsou mnohem častější, než si myslíte.
V této příručce najdete Praktická a velmi komplexní technická podpora Tato příručka diagnostikuje a řeší problémy s připojením a konfigurací VPN ve Windows (včetně AOVPN, L2TP/IPsec, SSL a běžných chyb, jako jsou 800, 806, 809, 812, 13801, 13806 atd.). Probereme vše od základů (profily, porty, firewally) až po problémy s certifikáty, problémy s DNS, virtuální adaptéry TAP, duální VPN a poškozené profily a poskytneme podrobná řešení a doporučení pro bezproblémové a stabilní připojení.
Klíčové koncepty VPN infrastruktury ve Windows
Než začnete s úpravami nastavení, je dobré pochopit, které části přicházejí do hry Když se připojujete k VPN ve Windows, znalost „celkového obrazu“ mnohem usnadní určení, co se děje špatně.
Typická VPN pro vzdálený přístup zahrnuje alespoň tyto prvky:
- VPN klient (Windows nebo aplikace poskytovatele).
- VPN server nebo koncentrátor.
- Firewall/router, který řídí provoz na daný server.
- Síťové adaptéry (fyzické a virtuální).
- Konfigurace protokolu/tunelu (L2TP/IPsec, SSTP, IKEv2, SSL atd.).
- Služby jako NPS, Active Directory a certifikační infrastruktury v podnikových prostředích.
Ve zvláštním případě Vždy zapnutá VPN (AOVPN) Věci se trochu komplikují, protože připojení se naváže automaticky ihned po spuštění systému Windows. To zahrnuje také distribuované konfigurační profily, skripty nasazení, zásady podmíněného přístupu a certifikáty počítačů a serverů, které systém Windows používá k vyjednávání IPsec.
Dobrou zprávou je, že Většina problémů s připojením se neustále opakujeBlokované porty, neplatné certifikáty, nesprávně zvolené protokoly, nesprávné přihlašovací údaje, špatně nakonfigurovaný DNS, poškozené síťové ovladače nebo příliš ochranný firewall. Znalost těchto faktorů vám pomůže jít rovnou k věci.
Jak správně vytvořit VPN profil ve Windows 10/11
Mnoho chyb se vyskytuje jednoduše proto, že je profil VPN vytvořen nesprávně., s nesprávnými údaji o serveru, nesprávným typem VPN nebo ověřovacím systémem, který neodpovídá serveru.
Ve Windows je standardní metoda pro vytvoření integrovaného profilu následující.: a a Domů > Nastavení > Síť a internet > VPN > Přidat připojení VPNV nabídce „Poskytovatel VPN“ vyberte Windows (vestavěná)Zadejte rozpoznatelný název připojení, zadejte název nebo adresu serveru (bez http, lomítek nebo jiných speciálních znaků) a vyberte typ VPN požadovaný vaší společností nebo poskytovatelem (například L2TP/IPsec s předsdíleným klíčem, IKEv2, PPTP atd.). Další podrobnosti o vytvoření profilu naleznete na [odkaz na příslušnou dokumentaci]. Jak vytvořit VPN ve Windows.
Aspekt pověření je také kritickýV části „Typ přihlašovacích údajů“ vyberte správnou metodu (uživatelské jméno/heslo, certifikát, čipová karta nebo jednorázové heslo) a vyplňte uživatelské jméno a heslo, pokud je chcete uložit, pomocí správce heselPokud se tyto informace změní, budete je muset následně upravit, abyste předešli chybám při ověřování.
Jakmile je profil uložen, můžete přejít na „Pokročilé možnosti“ upravit parametry, jako je použití vzdálené výchozí brány, nastavení proxy serveru, povolené protokoly nebo to, zda se připojení používá pro veškerý provoz, nebo pouze pro konkrétní sítě.
VPN připojení a přístup k internetu: základní ovládání
Když systém Windows označí VPN jako „Připojeno“, znamená to jednoduše, že tunel byl navázán.Nezaručuje přístup k internetu. Provoz se může kdykoli zaseknout: DNS, firewall, směrování, vzdálený server atd.
Ruční připojení k VPN, která již má vytvořený profilKlikněte na ikonu Síť na hlavním panelu, vyberte název připojení a klikněte na „Připojit“. Pokud se otevře sekce Nastavení VPN, vyberte připojení a také tam klikněte na „Připojit“.
Pokud server přijme vaše přihlašovací údaje, zobrazí se stav „Připojeno“. pod názvem VPN. Od tohoto okamžiku, v závislosti na konfiguraci, může veškerý váš provoz procházet přes VPN (plný tunel) nebo pouze přes určité síťové rozsahy (rozdělený tunel). Pokud jste povolili možnost „používat výchozí bránu vzdálené sítě“, je normální, že veškerý provoz prochází přes VPN, což může způsobit ztrátu přístupu k internetu, pokud server nebo jeho směrování není správně nakonfigurováno.
Když se VPN připojí, ale není k dispozici internet.Problém je téměř vždy v DNS, nesprávném směrování, lokálním firewallu nebo nesprávném přesměrování odchozího provozu na VPN server. Níže naleznete konkrétní část pro tento scénář, který je jedním z nejběžnějších.
Typické chyby VPN připojení ve Windows (800, 806, 809, 812, 720, 787…)
Systém Windows zobrazuje mnoho problémů s VPN jako číselné kódy které jsou na první pohled trochu děsivé. Naštěstí většina z nich má velmi specifické příčiny a známá řešení.
Chyba 800: Vzdálené připojení se nepodařilo navázat.
Kód 800 obvykle označuje, že tunel se ani nezvedneVPN server možná nereaguje, firewall blokuje provoz nebo chybí bezpečnostní parametry pro L2TP/IPsec.
Obvyklé kroky k nápravěZkontrolujte, zda je název serveru nebo IP adresa správná a dostupná (v případě potřeby ping), ověřte, zda jsou na routeru/firewallu otevřené potřebné porty (např. TCP 1723 pro PPTP, UDP 500/4500 pro IPsec, 443 pro SSTP nebo SSL), a ověřte, zda typ VPN vybraný na klientovi odpovídá typu VPN serveru.
Chyba 806: Spojení mezi vaším počítačem a VPN je zablokováno
Naznačuje to chyba 806 Něco prořezává tunel v polovině.Obvykle se jedná o firewall (Windows nebo třetí strany) nebo v některých případech antivirový program, který kontroluje provoz a nerozumí správně protokolu GRE ani jiným protokolům používaným VPN.
Rychlý testDočasně vypněte firewall a pokud to funguje, budete muset vytvořit pravidlo, které povolí provoz VPN a, co je velmi důležité, otevřít TCP port 1723 (PPTP) nebo porty používané vaším konkrétním řešením. Je také dobré zkontrolovat, zda váš antivirový program tento provoz agresivně nefiltruje.
Chyba 809: Vzdálený server neodpovídá.
Chyba 809 se obvykle objevuje když firewall nebo zprostředkující router nepovoluje VPN provozZejména po NATu nebo při použití IPsec/IKEv2. I bez firewallu třetí strany může zařízení NAT způsobovat problémy.
Běžně používaným pokročilým řešením je úprava registru systému Windows. přidání klíče AssumeUDPEncapsulationContextOnSendRule en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgentnastavením 32bitové hodnoty DWORD na 2 a restartováním počítače. Dále zkontrolujte, zda jsou v bráně firewall otevřené porty UDP 500 a 4500 a port odpovídající zvolenému protokolu.
Chyby 812, 13801, 13806 a kódy certifikátů
V podnikových prostředích s AOVPN jsou chyby související s certifikáty a zásadami velmi časté.:
- 812Zásady serveru RAS nebo VPN brání připojení, protože metoda ověřování serveru neodpovídá profilu klienta.
- 13806IKE nemůže od zákazníka najít platný certifikát zařízení.
- 13801Přihlašovací údaje pro ověřování IKE jsou nepřijatelné (neplatný certifikát, certifikát s vypršenou platností, nedůvěryhodný řetězec atd.).
- 0x80070040Certifikát serveru nezahrnuje použití „ověřování serveru“.
- 0x800B0109Kořenový certifikát nepochází od certifikační autority, kterou klient považuje za důvěryhodnou.
Ve všech těchto případech je nutné pečlivě prozkoumejte PKI: že certifikát serveru je vydán důvěryhodnou certifikační autoritou, ve správném úložišti a se správným použitím; že klient má nainstalovaný kořenový a případně i mezilehlý certifikát; a že profil AOVPN odkazuje na správný certifikát, nikoli na první, který RRAS v úložišti najde.
Další běžné chyby: 720, 787 a problémy s MS-CHAPv2
Chyba 720 se obvykle vyskytuje, když není adaptér miniportu WAN (IP) správně propojen.Přeinstalace adaptéru ze Správce zařízení to obvykle vyřeší.
Chyba 787 v připojeních L2TP/IPsec To je obvykle způsobeno serverovými certifikáty obsahujícími zástupné znaky nebo certifikáty vydanými neočekávanou certifikační autoritou. RRAS si může vybrat první nalezený certifikát, ne nutně ten, který je vhodný pro L2TP, a tím se naruší asociace zabezpečení IPsec.
V případech, kdy L2TP/IPsec používá MS-CHAPv2, může k chybám dojít také v případě úpravy hodnoty LmCompatibilityLevel na řadiči domény. Co se týče výchozího nastavení, toto přeruší ověřování.
Problémy s připojením AOVPN (Always On VPN) ve Windows
AOVPN automatizuje připojení firemních zařízení, ale také ztěžuje chyby.protože uživatel ani ručně neotevře VPN: systém se na pozadí snaží nastavit tunel a pokud se něco nepodaří, uvidíte, že nemáte přístup k firemní síti.
Nejčastější důvody, proč se AOVPN nepodaří připojit, jsou:
Neplatné nebo chybějící certifikáty zařízení.
Nekonzistentní směrnice NPS.
Špatně provedené nasazení skriptů.
Problémy se službou Směrování a vzdálený přístup na serveru.
Specifické kódy AOVPN, které byste měli mít na paměti800, 809, 812, 13801, 13806 a dříve zmíněné chyby certifikátů. Malá chyba v definici profilu XML, v přiřazení certifikátu nebo v zásadách podmíněného přístupu Microsoft Entra může celou instalaci narušit.
Je to klíčové Projděte si kompletní cestu, kterou zákazník AOVPN absolvuje. Při pokusu o připojení: rozpoznávání DNS serveru VPN, ověření certifikátu, vyjednávání IKE/IPsec, aplikace zásad NPS a nakonec přiřazení IP adresy a trasy. Jakýkoli slabý článek přeruší řetězec.
VPN připojeno, ale bez internetu: příčiny a řešení
Tento scénář je jeden z nejzoufalejších: VPN hlásí připojení, ale prohlížeč nic nenačítá.Problém je obvykle v DNS, směrování nebo firewallu, který blokuje skutečný provoz, i když umožňuje navázání tunelu.
- Nejprve zkontrolujte, zda funguje vaše „normální“ internetové připojení.Odpojte VPN a procházejte internet. Pokud se stále nemůžete připojit k internetu, problém není ve VPN, ale ve vaší síti (router, Wi-Fi, poskytovatel internetových služeb atd.). Restartujte router, zkontrolujte kabely, zkuste jinou síť nebo kontaktujte svého poskytovatele internetových služeb.
- Pokud můžete procházet internet i s odpojenou VPN, musíte se podívat do Windows.Ověřte, zda je vaše VPN aplikace aktuální, zkuste změnit servery v samotném klientovi (mnoho serverů se přetíží nebo selže) a v případě potřeby změňte protokol. váš dodavatel Umožňuje to (například z UDP na TCP nebo na modernější protokol).
- Jeden trik, který řeší poměrně dost případů, je vymazání mezipaměti DNS systému Windows.Otevřete příkazový řádek jako správce a spusťte jej
ipconfig /flushdnsTím se vymažou poškozené položky DNS, které mohou po vstupu do tunelu ukazovat na nesprávná rozlišení. - Nezapomeňte na antivirový program a firewallMohou povolit připojení VPN, ale blokovat následné požadavky DNS nebo HTTP/HTTPS. Dočasně vypněte antivirový program/firewall, abyste to otestovali, a pokud se tím problém vyřeší, vytvořte specifická pravidla, která umožní aplikaci VPN a příslušným portům fungovat bez omezení.
Problémy s DNS a překladem jmen pomocí VPN
Pokud systém Windows při používání VPN zobrazuje chyby „překladu doménových jmen“, obvykle se jedná o… konflikt DNS které váš počítač používá a které očekává VPN tunel, nebo veřejný DNS, který jste nakonfigurovali, neodpovídají požadavkům VPN.
Standardní řešení je změnit DNS servery síťového rozhraní které používáte: přejděte na Domů > Nastavení > Síť a internet > Změnit možnosti adaptéruKlikněte pravým tlačítkem myši na používanou kartu, vyberte „Vlastnosti“ a vyberte Internetový protokol verze 4 (TCP / IPv4)Klikněte na „Vlastnosti“ a zaškrtněte políčko „Použít následující adresy DNS serverů“.
můžete vstoupit Důvěryhodný veřejný DNS například od Googlu (8.8.8.8 a 8.8.4.4) nebo Cloudflare (1.1.1.1 a 1.0.0.1)Uložte, odpojte a znovu připojte VPN. V mnoha případech chyba vyřešení okamžitě zmizí.
Pokud problém přetrvává, Měli bychom být podezřívaví k samotné VPN.Někteří bezplatní poskytovatelé DNS nespravují dobře, neposkytují interní servery v podnikovém prostředí nebo vynucují DNS rozlišení, která jsou v konfliktu s vaší lokální konfigurací. Nejlepším řešením je obvykle změna poskytovatele, ideálně za placeného a renomovaného.
Firewall, router a porty: nejčastější úzké hrdlo
Hodně z Chyby 800, 806 a 809 se řeší útokem na stejný bod: firewall a router.VPN v konečném důsledku není nic jiného než šifrovaný provoz přes specifické porty; pokud jsou tyto porty uzavřené, je k ničemu.
- V bráně firewall programu Windows Defender můžete vytvářet pravidla pro příchozí a odchozí komunikaci. které povolují provoz pro aplikaci VPN a pro porty používané vybraným protokolem. Pro PPTP zkontrolujte, zda jsou autorizovány port TCP 1723 a protokol GRE; pro L2TP/IPsec zkontrolujte porty UDP 500 a 4500; pro SSL nebo SSTP se obvykle používá port TCP 443.
- Může to být také nutné na vašem síťovém routeru. otevírání nebo přesměrování portů k internímu VPN serveru, pokud se jedná o vaši vlastní infrastrukturu. V podnikových sítích to obvykle spravuje systémový tým, ale doma, pokud si nastavujete vlastní VPN server nebo používáte router s integrovanou VPN, budete muset zkontrolovat jeho sekci přesměrování portů.
Pokud zjistíte, že VPN funguje s vypnutým firewallem, ale ne s povoleným, je to váš lakmusový papírek. Nejlepším přístupem není firewall úplně vypnout, ale spíše doladit pravidla, dokud tunel nebude fungovat bez ohrožení zabezpečení systému.
Adaptér TAP-Windows a další virtuální adaptéry
Mnoho VPN se instaluje virtuální adaptér s názvem TAP-Windows (nebo podobný) která funguje jako „fiktivní síťová karta“, přes kterou prochází šifrovaný provoz. Pokud tento adaptér selže, celá služba se zhroutí.
Když se adaptér TAP zasekne, můžete si všimnout tyto příznaky:
- VPN se připojuje, ale síť nereaguje.
- Spojení po chvíli přeruší.
- Vaše normální síť je ovlivněna i bez aktivního tunelu.
To je obvykle způsobeno poškozenými ovladači, neúplnými aktualizacemi systému Windows nebo konflikty s jinými adaptéry.
Jednoduchý první krok: restartujte adaptérV části „Změnit možnosti adaptéru“ vyhledejte TAP-Windows, kliknutím pravým tlačítkem myši jej deaktivujte a poté jej znovu povolte. Někdy se tak věci znovu zprovozní.
Pokud to nefunguje, dalším krokem je přeinstalace.Odinstalujte VPN, restartujte počítač a znovu nainstalujte nejnovější verzi klienta. Pokud to stále nefunguje, přejděte do Správce zařízení, vyhledejte adaptér TAP v části „Síťové adaptéry“, odinstalujte jej a nechte jej znovu vytvořit instalačním programem VPN. V některých případech můžete dokonce přidat nový adaptér TAP a použít ho místo starého. Chcete-li vybrat spolehlivého klienta, podívejte se na možnosti a srovnání.
Dvojitá VPN, která nefunguje na Windows
Volání „Dvojitá VPN“ Přidává druhou tunelovací vrstvu, která propojuje dva VPN servery dohromady pro posílení soukromí. Zní to skvěle, ale v praxi to znásobuje body, kde se může něco zaseknout.
Pokud se dvojitá VPN nepřipojí, nebo se připojí, ale neumožní prohlížení, existují… několik front k prozkoumání:
- Automatické nastavení připojení (které se může pokoušet připojit k prvnímu serveru, jako by byl jediný).
- Použití vlastního DNS v rámci VPN.
- Přítomnost aktivních proxy serverů ve Windows.
Někteří konkrétní doporučeníPokud používáte vlastní DNS v aplikaci VPN, zakažte je a zakažte všechny manuální proxy. Nastavení > Síť a internet > Proxyvymažte mezipaměť DNS pomocí ipconfig /flushdns A zkuste změnit dvojici serverů používaných pro dvojitou VPN. Často se jedná o dočasný problém s přetíženým serverem. Pokud hledáte alternativy k posílení soukromí, zvažte také, co... Decentralizovaná VPN.
Také pomáhá Vyzkoušejte jiné protokoly v rámci stejné VPN (kde je to možné): některé zvládají zřetězené scénáře lépe než jiné a lze výrazně zlepšit výkon a stabilitu.
Pokročilá správa VPN připojení ve Windows: export, import a mazání profilů
En profesionální prostředí Je běžné, že je potřeba migrovat profily VPN mezi počítači nebo vyčistit zastaralé konfigurace, které způsobují pouze chyby. Systém Windows umožňuje exportovat a importovat připojení bez nutnosti spoléhat se na externí programy.
na Export VPN připojení vytvořených pomocí vestavěného klienta Windows, přístup k trase %AppData%\Microsoft\Network\Connections (Můžete jej vložit do adresního řádku Průzkumníka). Uvnitř najdete složku s názvem PbkJednoduše jej zkopírujte na USB disk nebo jiné místo a poté jej vložte na stejné místo v jiném počítači, abyste tam měli stejná připojení.
Pokud potřebujete zcela smažte VPN profily, které již nepoužíváteMůžete to provést z několika míst: v Nastavení > Síť a internet > VPN vyberte připojení a klikněte na „Odebrat“; v Ovládacích panelech v Centrum sítí a sdílení > Změna nastavení adaptéruodstraněním připojení; nebo použitím příkazů jako například rasphone -R "Nombre" v příkazovém řádku (správce) nebo Remove-VpnConnection -Name "Nombre" -Force v PowerShellu.
S klienty jako OpenVPN, WireGuard nebo specifická komerční řešení Není dobrý nápad mazat virtuální rozhraní z Ovládacích panelů, protože byste mohli smazat všechny své profily. V takových případech proveďte mazání v samotné aplikaci nebo, pokud se jedná o OpenVPN, smazáním konfiguračních souborů ve složce. config uživatele.
Změna a zabezpečení hesla VPN ve Windows
Pokud používáte vestavěného klienta Windows pro připojení k firemní VPN, budete muset v určitém okamžiku změnit heslo (protože jeho platnost vypršela, z důvodu firemních zásad nebo proto, že došlo k chybě ověření).
Chcete-li změnit klíč uložený v profilu VPN systému Windows, přejděte na Domů > Nastavení > Síť a internet > VPNVyberte připojení, přejděte do sekce „Pokročilé možnosti“ a vyhledejte pole „Heslo“. Zadejte nové heslo, uložte změny a otestujte připojení.
Z hlediska bezpečnosti, Je důležité hesla znovu nepoužívatV ideálním případě by vaše VPN měla mít jedinečné, dlouhé heslo (alespoň 12–16 znaků) s velkými a malými písmeny, číslicemi a symboly a nemělo by se jednat o slovo ani údaj, který by vás přímo identifikoval. Správce hesel to výrazně usnadňuje.
Pokud se VPN integruje s vaším doménovým uživatelem (Active Directory), nezapomeňte, že Změna hesla se neprovádí z VPN profilu, ale z účtu Windows nebo obvyklými firemními mechanismy.Profil jednoduše použije tyto nové přihlašovací údaje při příštím pokusu o připojení.
Kdy shromažďovat stopy a kontaktovat specializovanou podporu
Existují situace, kdy bez ohledu na to, kolik typických nastavení vyzkoušíte, VPN to nadále rázně odmítá.Pokud pracujete v podnikovém prostředí společnosti Microsoft, je rozumné shromáždit informace před otevřením tiketu podpory u společnosti.
Společnost Microsoft doporučuje používat skripty pro řešení potíží (TSS) k zachycení podrobných informací. na straně klienta i serveru. Musíte je spustit s účtem s oprávněními správce, poprvé přijmout smlouvu EULA a ujistit se, že to zásady spouštění PowerShellu umožňují. RemoteSigned.
Obvyklý postup je:
- Stáhnout TSS do C:\tss.
- Otevřete v dané složce okno PowerShellu se zvýšenými oprávněními.
- Spusťte rutiny pro zahájení sledování na straně klienta a serveru.
- Reprodukujte problém.
- Dokončete sběr zadáním „Y“ po zobrazení výzvy. Protokoly budou zabaleny do souboru ZIP ve složce C:\MS_DATA, který pak můžete odeslat podpoře.
V komplexních nasazeních zahrnujících AOVPN, NPS, Entra ID a certifikátyTyto typy trasování rozhodují o tom, zda budete několik dní naslepo, nebo zda technik druhé úrovně jedinou kontrolou odhalí selhání zásad či PKI.
Na konciMít stabilní VPN ve Windows vyžaduje zvládnutí několika základů.Pro řešení problémů je nezbytné správně si vytvořit profil, pochopit, které porty a protokoly vaše tunely používají, spravovat firewall a router, udržovat klienta a ovladače aktuální, sledovat nastavení DNS a rozumět běžným chybám (800, 806, 809, 812, 13801, 13806, problémy s TAP, neaktivní SSL, dvojitá VPN atd.). S tímto základem lze většinu problémů vyřešit během několika minut. V případě odolnějších případů můžete vždy použít pokročilé trasování nebo, pokud se jedná o službu třetí strany, vyhledat podporu od spolehlivého technického týmu a důvěryhodného poskytovatele VPN.
