Поддержка пользователей 06. Сеть, Wi-Fi и VPN у пользователя: быстрая диагностика

Note

Материал сверен с официальной документацией (Microsoft Learn и support.microsoft.com; ссылки — в конце статьи). Примеры вывода — иллюстрации: на вашем компьютере значения и формат могут отличаться. Перед работой на боевых компьютерах проверьте шаги на тестовой машине.

«Нет интернета» — жалоба, а не диагноз. Вот как это звучит у пользователя:

«Интернета нет», хотя значок сети есть;
«Wi-Fi подключён, а страницы не открываются»;
«У соседа сайт открывается, у меня нет»;
«В офисе всё работает, а дома VPN не подключается»;
«Почта не работает, а браузер работает».

Наша задача на первой линии: за несколько минут отнести проблему к одной из трёх зон. Пользователь — его компьютер, адаптер, сохранённая Wi-Fi-сеть. Сеть — точка доступа, коммутатор, DHCP (автоматическая выдача адресов), шлюз, DNS (превращение имён в адреса), провайдер. Сервис — то, к чему человек подключается, и посредники по дороге: прокси и VPN. Полный технический чек-лист «снизу вверх» с примерами вывода есть в Сети с нуля 10; здесь мы покажем порядок, удобный для обращения, и что записать в заявку.

Что нужно знать заранее

Сети с нуля 10: ловушки ping и ICMP (протокола, которым работает ping), tracert, MTU и сбросы сетевого стека.
Сети с нуля 06, Сети с нуля 07 и Сети с нуля 12: DHCP, DNS и Wi-Fi в теории. Мы их не пересказываем.
Среда: сеть 192.168.10.0/24, шлюз RTR1 (192.168.10.1), DHCP-пул .100–.200, DNS-серверы DC1 и DC2 (192.168.10.11 и .12, их клиентам выдаёт DHCP), компьютер PC1 (192.168.10.101), Wi-Fi-сеть OfficeWiFi, VPN-сервер vpn.lab.example.
Шаги с пометкой «(вторая линия)» требуют прав администратора: первая линия передаёт их вместе с результатами проверок (Поддержка пользователей 01).
Шлюз (gateway) — маршрутизатор, через который компьютер выходит за пределы своей сети. Прокси — сервер-посредник, через который идёт веб-трафик. VPN (virtual private network, виртуальная частная сеть) — защищённый туннель до корпоративной сети поверх интернета.

Правила, которые действуют всегда (практика автора): меняйте что-то одно и проверяйте после каждого шага; не отключайте брандмауэр и антивирус «на минуту», а проверяйте нужный порт командой; не просите у пользователя пароль от Wi-Fi или VPN и не пересылайте файлы отчётов, в которых есть имена компьютеров и пользователей.

Шаг 1. Определите масштаб

Задайте четыре вопроса:

Только у этого человека или у соседей? Если у многих, чинить компьютеры по одному бессмысленно: передавайте администратору сети. Быстрая проверка: подключить тот же Wi-Fi на другом устройстве, например на телефоне. Если там работает, причина, скорее всего, в самом компьютере.
Проводом, по Wi-Fi или через VPN?
Не открывается всё или один сайт, одна программа?
Что менялось: пароль Wi-Fi, место работы, обновление, замена роутера?

Если «всё», идите по шагам 2–5. Если «одна программа», сразу к шагу 5 и разделу про прокси.

Шаг 2. Линк и режимы

Посмотрите вместе с пользователем на значок сети в трее. Проверьте по порядку: Wi-Fi включён; режим «в самолёте» выключен; у сети написано «Подключено»; для кабеля — штекер вставлен, индикатор светится. Если рядом две сети одной точки, на 2,4 и 5 ГГц, попробуйте другую. Если ошибка начала появляться после смены пароля Wi-Fi, забудьте сеть и подключитесь заново: «Параметры» → «Сеть и Интернет» → Wi-Fi → «Управление известными сетями» → «Забыть» (названия по русской странице Microsoft, это машинный перевод). Новый пароль введёт сам пользователь.

Шаг 3. Адрес: что получил компьютер

Откройте командную строку и выполните ipconfig /all. Сохраните вывод: он понадобится для заявки и для сравнения. Пример вывода (фрагмент для нужного адаптера, значения вымышлены):

Wireless LAN adapter Wi-Fi:

   Connection-specific DNS Suffix  . : lab.example
   DHCP Enabled. . . . . . . . . . . : Yes
   IPv4 Address. . . . . . . . . . . : 192.168.10.101(Preferred)
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 192.168.10.1
   DHCP Server . . . . . . . . . . . : 192.168.10.11
   DNS Servers . . . . . . . . . . . : 192.168.10.11
                                       192.168.10.12

Смотрите на четыре вещи:

Адрес 169.254.x.x (строка называется Autoconfiguration IPv4 Address). Так Windows назначает себе адрес сама, если от DHCP ничего не пришло: этот механизм Microsoft называет APIPA (Automatic Private IP Addressing), а стандарт — RFC 3927. Такие адреса годятся только для связи в пределах одного сегмента, маршрутизаторы их не пересылают. Значит, компьютер не дозвонился до DHCP: проверьте кабель, Wi-Fi-сеть и порт, а если у многих, это DHCP-сервер или точка доступа.
Адрес не из нашей подсети (например, 192.168.0.x): человек подключён не к той сети, часто к гостевой или к домашнему роутеру.
Нет шлюза или DNS-серверов: DHCP выдал неполные настройки либо адрес задан вручную с ошибкой.
DNS-серверы не наши (скажем, публичные) на компьютере домена: внутренние имена вроде fs1.lab.example не найдутся.

Если адрес неправильный, компьютеру можно предложить обновить настройки (вторая линия: в справке Microsoft эти команды запускают в консоли от имени администратора): ipconfig /renew (для одного адаптера: ipconfig /renew "Wi-Fi"; имя в кавычках, если в нём есть пробелы). Команда ipconfig /release, напротив, сбрасывает адрес и обрывает удалённый сеанс по этому адаптеру: не запускайте её, пока помогаете человеку удалённо (Сети с нуля 10 разбирает её подробно).

Шаг 4. Шлюз и выход наружу

Проверьте шлюз из вывода ipconfig /all: ping 192.168.10.1. Строки Reply from… говорят, что связь с роутером есть. Но молчание ещё не вердикт: ICMP могут блокировать, поэтому для окончательного вывода проверьте порт по протоколу TCP (о ловушках см. Сети с нуля 10). Если шлюз не отвечает, при возможности подключите компьютер к сети кабелем. Когда по кабелю всё работает, виновата Wi-Fi-часть: точка доступа, канал, сохранённая сеть. Если шлюз отвечает, а интернета нет, смотрите дальше: модем или провайдер. Выход наружу покажет порт 443 внешнего узла:

Test-NetConnection -ComputerName www.example.com -Port 443

Пример вывода:

ComputerName     : www.example.com
RemoteAddress    : 198.51.100.10
RemotePort       : 443
InterfaceAlias   : Wi-Fi
SourceAddress    : 192.168.10.101
TcpTestSucceeded : True

Решение принимайте по строке TcpTestSucceeded: True — соединение установилось, False — нет. Параметр -InformationLevel Quiet оставляет только True или False, а Detailed добавляет подробности.

Вот как читать результаты шагов 2–4, прежде чем двигаться дальше:

Что нашли	Чья зона	Что делаете
Адаптер выключен, нет Wi-Fi, кабель не подключён	пользователь	включить, переподключить, забыть сеть
Адрес `169.254.x.x`	сеть (DHCP, порт, точка доступа)	`ipconfig /renew`, при повторе — сетевому администратору
Шлюз отвечает, внешний порт 443 недоступен	сеть, роутер или провайдер	сетевому администратору с выводом команд
Внешний порт доступен, а страницы не открываются	DNS, прокси или сервис	шаг 5 и раздел про прокси

Шаг 5. Имя и порт службы

Если по адресу всё доходит, а по имени нет, проверьте DNS:

Resolve-DnsName www.example.com
Resolve-DnsName fs1.lab.example

Ошибка «не найдено» или тайм-аут означает, что DNS-сервер из ipconfig /all недоступен или не знает такого имени. Безопасная мера — очистить кэш клиента командой ipconfig /flushdns (вторая линия: консоль от имени администратора). Остальное — в Сети с нуля 07 и Windows Server с нуля 04: если не работают только внутренние имена, проблема на стороне DNS домена.

Если имя разрешается, а не работает конкретная служба, проверьте её порт: Test-NetConnection fs1.lab.example -Port 445. Для частых служб есть сокращение -CommonTCPPort, например SMB (протокол общих папок и принтеров), HTTP, RDP или WINRM. Закрытый порт значит, что мешает фильтр на пути или сама служба не запущена; отсюда проблема передаётся владельцу сервиса.

Проверка результата. После любого исправления попросите пользователя повторить исходное действие при вас: открыть сайт, подключиться к VPN, зайти в общую папку. Повторите ipconfig /all и Test-NetConnection, чтобы сравнить с записью до правки.

Wi-Fi: что покажет Windows

Две команды ничего не меняют:

netsh wlan show interfaces
netsh wlan show wlanreport

Первая показывает состояние адаптера: подключён ли он, имя сети (SSID, Service Set Identifier), стандарт, канал и уровень сигнала в процентах. На современной Windows 11 она может потребовать разрешение на определение местоположения: подробности в Сети с нуля 12. Пример вывода (сокращён; подписи на русской Windows могут быть переведены):

    Name                   : Wi-Fi
    State                  : connected
    SSID                   : OfficeWiFi
    Radio type             : 802.11ac
    Channel                : 44
    Signal                 : 35%

Слабый сигнал и обрывы — повод подойти к точке доступа ближе или сменить диапазон. Если обрывается ноутбук, загляните в Диспетчер устройств: у адаптера Wi-Fi на вкладке «Управление питанием» есть флажок «Разрешить отключение этого устройства для экономии энергии». Его снимают осознанно, потому что для ноутбука экономия заряда тоже важна (практика автора). Вторая команда (вторая линия, консоль от имени администратора) создаёт HTML-отчёт о событиях Wi-Fi за последние три дня: сеансы подключения, причины отключений, вывод ipconfig /all и список адаптеров; место сохранения файла она указывает в конце вывода. В отчёте есть имя компьютера и пользователя, так что вложите файл в заявку и удалите его с компьютера пользователя. Если адаптер ведёт себя странно после обновления, драйвер можно удалить в Диспетчере устройств и перезагрузиться: Windows поставит драйвер заново. Это задача второй линии, и перед ней нужен резервный драйвер на случай, если новый не установится.

Прокси и «подключено, без интернета»

Значок «подключено, но без доступа в интернет» отражает результат проверки NCSI (Network Connectivity Status Indicator). Она отправляет HTTP-запрос серверу Microsoft и ждёт ожидаемый ответ с текстом Microsoft Connect Test. Если вместо него приходит страница входа гостевой Wi-Fi (captive portal), либо прокси блокирует проверку (например, ответом 403), значок скажет «нет интернета» при том, что сайты могут открываться. Не отключайте активную пробу, чтобы «починить» значок: без неё часть проблем перестанет определяться (предупреждение из описания NCSI). Адрес пробы — www.msftconnecttest.com/connecttest.txt: прокси и фильтры должны его пропускать. Если человек в гостинице или кафе, откройте любой сайт по адресу http://: сеть обычно перенаправляет на страницу входа (практика автора).

Прокси бывает двух видов, и их легко перепутать:

Параметры пользователя: «Параметры» → «Сеть и Интернет» → «Прокси». Там три способа: автоматическое определение, сценарий настройки и ручной прокси-сервер с адресом, портом и списком исключений. Если прокси указан, проверьте его порт: Test-NetConnection proxy.lab.example -Port 8080. Если порт не отвечает, браузер не выйдет в сеть, хотя сама сеть исправна.
Системные параметры WinHTTP: WinHTTP — это интерфейс, через который приложения и службы Windows отправляют HTTP-запросы, и у него свои настройки прокси. Показать их можно командой netsh winhttp show proxy.

netsh winhttp show proxy

Пример вывода (формат приблизительный):

Current WinHTTP proxy settings:

    Direct access (no proxy server).

Команды netsh winhttp reset proxy (вернёт прямое подключение), import proxy и set proxy меняют системную настройку (вторая линия). В управляемой сети прокси обычно выдаёт администратор, поэтому без согласования их не запускают: после сброса службы за прокси могут потерять доступ. Перед изменением сохраните в заявку вывод netsh winhttp show proxy (или netsh winhttp dump: он создаёт сценарий для восстановления настроек).

Сброс сети: последний шаг и его цена

Сброс сети (Network reset, вторая линия) в «Параметры» → «Сеть и Интернет» → «Дополнительные сетевые параметры» → «Сброс сети» (Advanced network settings → Network reset; русские названия по машинному переводу) годится, когда остальное не помогло, например после перехода с Windows 10 на 11. Он удаляет все сетевые адаптеры и их параметры: после перезапуска адаптеры ставятся заново с настройками по умолчанию. Другие последствия по документации: может понадобиться заново поставить VPN-клиент и виртуальные коммутаторы Hyper-V, а известные сети могут перейти в профиль «общедоступная», при котором компьютер скрыт от других устройств. Точный перечень зависит от компьютера.

В документации отката не описано, поэтому перед сбросом:

Убедитесь, что шаги 1–5 выполнены, а перезапуск и «забыть сеть» не помогли.
Работайте у компьютера, а не удалённо: после сброса компьютер перезагрузится, и сеанс оборвётся.
Запишите настройки: ipconfig /all (в том числе вручную заданные адрес и DNS), имя Wi-Fi-сети и убедитесь, что пароль известен пользователю, параметры VPN, адрес прокси. На управляемом компьютере согласуйте сброс с администратором.
После перезагрузки проверьте адрес, профиль сети, VPN и прокси.

Менее радикальные команды netsh winsock reset и netsh int ip reset (тоже вторая линия) описаны в Сети с нуля 10 вместе с предупреждениями и сохранением настроек. Помните, что netsh int ip reset может сбросить и вручную заданные адрес и DNS.

VPN у пользователя

Сначала выясните, какой у человека VPN. Встроенный клиент Windows («Параметры» → «Сеть и Интернет» → VPN) создаёт профиль с типом подключения, именем сервера и способом входа (пароль, одноразовый пароль, сертификат или смарт-карта). Приложение стороннего поставщика работает по его правилам, и тут нужна инструкция поставщика. Always On VPN развёртывает администратор: в описании Microsoft это сервер сетевых политик (NPS), сертификаты и скрипты развёртывания на клиентах, поэтому такие случаи передавайте ему. Параметры профиля тоже выдаёт администратор: не создавайте профиль по данным из письма или чата.

Алгоритм:

Без VPN всё работает? Если нет, сначала пройдите шаги 1–5: VPN поверх сломанной сети не поднимется. Заодно проверьте, что имя сервера из профиля разрешается: Resolve-DnsName vpn.lab.example (в описании Always On VPN это один из первых пунктов проверки).
Из какой сети? Домашний роутер, отель, мобильный интернет могут блокировать нужные порты. Практический приём: подключить компьютер к другой сети, например к раздаче с телефона, и повторить. Если там VPN соединяется, блокирует исходная сеть.
Какой код? Он показан в окне ошибки, а события с источником RasClient лежат в журнале «Приложение» (Application): код стоит в конце сообщения.
Время и сертификаты (практика автора): у сертификатов есть срок действия, поэтому при неверных дате и часовом поясе проверка сервера может не пройти. Сверьте часы по шагу 6 статьи Поддержка пользователей 05.
Соединилось, а ресурсов нет: посмотрите ipconfig /all для VPN-адаптера (какие DNS-серверы получены), затем Resolve-DnsName fs1.lab.example и Test-NetConnection fs1.lab.example -CommonTCPPort SMB. Если полное имя работает, а короткое FS1 нет, вероятно, в профиле нет нужного DNS-суффикса (практика автора): это настройка профиля, её меняет администратор.

Расшифровка частых кодов:

Код	Что значит	Что делает первая линия
691	доступ запрещён: имя и пароль недопустимы в домене	проверить запись: блокировка, истёкший пароль (Поддержка пользователей 05); пароль у человека не спрашивать
766	не найден сертификат компьютера (нужен для L2TP — типа VPN-туннеля — через IPsec)	администратору
800	VPN-подключение не удалось: сервер недоступен или неверны параметры безопасности; при типе «Автоматически» не сработал ни один туннель	интернет без VPN, затем тип VPN вручную по инструкции администратора
809	сервер не отвечает; частая причина — заблокированные на пути UDP-порты 500 или 4500 (IKE, обмен ключами для IPsec — набора протоколов защиты трафика; мешать могут брандмауэр, NAT — трансляция адресов, маршрутизатор); для других типов VPN порты иные (практика автора)	другая сеть для проверки; блокировку снимает владелец устройства на пути
812	способ проверки подлинности на сервере не совпал с профилем	администратору
13806, 0x800B0109	нет подходящего сертификата компьютера или нет доверия к корневому сертификату	администратору

Прокси для VPN-подключения задаётся отдельно: в параметрах самого VPN-подключения («Дополнительные параметры»), а не в общих настройках прокси.