С VPN часть программ работает, а часть теряет интернет: маршруты, DNS и прокси

Сначала определите, что именно перестало работать

После подключения VPN браузер продолжает открывать сайты, а почтовая программа, клиент облака или рабочее приложение сообщает об отсутствии сети. Возможен и обратный вариант. Из этого ещё не следует, что Windows «раздала интернет не всем»: приложения могут обращаться к разным адресам, использовать разные прокси и проверять доступность разными способами.

Запишите название программы, точное сообщение, имя сервера и время попытки. Сравнивайте один и тот же ресурс при отключённом и включённом VPN. Если политика организации запрещает работу без туннеля, сравнение согласуют с администратором; удалять управляемые настройки не требуется.

Дальше рассматривается Windows 11. Встроенный VPN и сторонний клиент могут по-разному управлять сетью. Команды Get-VpnConnection показывают профили платформы Windows, но не обязаны описывать туннель отдельной программы. ^{[1], [2]}

Снимите конфигурацию до подключения и после него

В PowerShell выполните команды сначала в исходном состоянии, затем с VPN. Сохраните результаты в два текстовых файла через меню терминала или перенаправление. Для чтения основной конфигурации:

Get-NetIPConfiguration
Get-DnsClientServerAddress
Get-NetRoute -AddressFamily IPv4 |
  Sort-Object DestinationPrefix, RouteMetric
Get-NetRoute -AddressFamily IPv6 |
  Sort-Object DestinationPrefix, RouteMetric
Get-VpnConnection |
  Select-Object Name, ConnectionStatus, SplitTunneling, DnsSuffix

Общесистемные профили встроенного VPN смотрят отдельно через Get-VpnConnection -AllUserConnection. Отсутствие профиля в первом списке не означает, что туннеля нет. Проверяйте также интерфейсы, созданные вашим клиентом. Для команд управления VPN иногда нужна повышенная консоль; не запускайте её автоматически только ради просмотра маршрутов. ^{[2], [3], [4]}

Главное в сравнении — появившиеся DNS-серверы, интерфейсы и маршруты. Уничтожать «лишние» виртуальные адаптеры по названию нельзя: они могут обслуживать виртуальные машины, защиту или рабочую сеть.

Если программа обращается не к одному серверу, выпишите из её журнала несколько адресов: вход в аккаунт, получение списка данных и загрузка файла могут обслуживаться разными узлами. Ситуация «вход работает, скачивание нет» требует проверки адреса скачивания. Не составляйте список исключений по названию программы, пока не установили, какие направления ей нужны.

Разберитесь с полным и раздельным туннелем

При раздельном туннелировании через VPN идут заданные направления; остальной трафик может уходить обычным путём. При полном туннеле добавляются маршруты по умолчанию через VPN. Более конкретный маршрут способен изменить путь даже при наличии такого маршрута по умолчанию. Поэтому строка 0.0.0.0/0 сама по себе не описывает все соединения. ^[1]

Для конкретного полученного IPv4-адреса используйте:

Find-NetRoute -RemoteIPAddress 192.0.2.10 |
  Format-List *

192.0.2.10 здесь — учебный адрес. Подставьте реальный адрес проблемного сервера из предыдущей проверки DNS. Команда возвращает локальный адрес и выбранный маршрут: смотрите InterfaceAlias, InterfaceIndex, DestinationPrefix и NextHop. Для IPv6 повторите с фактическим IPv6-адресом. ^[5]

Сначала выбирается подходящий более длинный префикс; среди сопоставимых вариантов важны метрики маршрута и интерфейса. Простое уменьшение метрики VPN не исправляет неправильный DNS или прокси приложения.

Проверьте DNS отдельно от соединения

Замените имя в примере на сервер программы:

Resolve-DnsName -Name server.example -Type A
Resolve-DnsName -Name server.example -Type AAAA
Get-DnsClientNrptPolicy -Effective

Сравните ответы до и после VPN. Внутреннее имя организации может разрешаться только её DNS-сервером. Замена этого сервера публичным иногда восстанавливает внешние сайты и одновременно ломает рабочие ресурсы. NRPT задаёт правила обработки отдельных пространств имён; сравнение только списка серверов адаптера недостаточно. ^{[6], [7]}

Если браузер использует собственный защищённый DNS, его результат может отличаться от системного. Сверьте настройки конкретного браузера с политикой сети. Отсутствие AAAA-записи нормально для сервиса только с IPv4; это не самостоятельная ошибка.

Разделите настройки прокси Windows, WinHTTP и программы

Откройте Параметры → Сеть и Интернет → Прокси. Запишите адрес ручного прокси, исключения и URL сценария автоматической настройки, если он задан. Отдельные параметры прокси бывают и у самого VPN-подключения. ^[8]

Для традиционной конфигурации WinHTTP:

netsh winhttp show proxy

Ответ «Прямой доступ» относится к показанной конфигурации WinHTTP и не доказывает, что браузер или отдельная служба работают напрямую. Новые варианты WinHTTP, автоматическое обнаружение, контекст учётной записи и логика приложения могут различаться. Не выполняйте reset proxy или import proxy, пока не определили, какой механизм использует неработающая программа. ^[9]

В приложении проверьте собственные разделы Network, Proxy или Connection. Прокси может быть доступен только через VPN, требовать отдельной аутентификации или не разрешать нужный порт. Наличие HTTPS в адресе сайта не означает, что приложение автоматически обходит прокси.

Проверьте именно порт приложения

Для HTTPS часто нужен TCP 443, для другого сервиса — его фактический порт. Не переносите значение 443 на любую программу:

Test-NetConnection -ComputerName server.example -Port 443 -InformationLevel Detailed

Смотрите RemoteAddress, SourceAddress, InterfaceAlias и TcpTestSucceeded. Успех означает установление TCP-соединения с указанным адресом и портом. Он не подтверждает исправность TLS, входа в аккаунт, HTTP-запроса или UDP. Отрицательный ping в том же выводе не отменяет успешную проверку TCP. ^[10]

При обязательном HTTP-прокси приложение может соединяться с прокси, а не напрямую с сервером сайта. Тогда отрицательная прямая TCP-проверка сайта не объясняет работу браузера; отдельно проверяют адрес и порт посредника.

Меняйте один параметр и повторяйте тот же сценарий

Если неверно разрешается только внутреннее имя, исправляют DNS-политику нужного VPN. Если выбран неправильный интерфейс, проверяют маршруты и пересечение подсетей: домашняя и рабочая сети с одинаковым диапазоном способны конфликтовать. Если порт доступен, а программа требует прокси, уточняют её собственную настройку и аутентификацию.

У стороннего клиента проверьте документированные режимы раздельного туннелирования, фильтрации приложений и блокировки трафика при обрыве. Их действия нельзя восстановить только по Get-VpnConnection. Для управляемой сети передайте администратору две конфигурации, точное имя, адрес назначения, выбранный маршрут и время ошибки. Пароли и токены в такой отчёт не включают.

После исправления повторите исходную операцию в программе, а затем проверьте рабочие и внешние ресурсы. Само исчезновение значка ошибки на панели задач не заменяет этот тест.