Problema

Windows relata que não há conectividade com a Internet na conexão Ethernet ou WiFi, mesmo que o usuário possa acessar a Internet com sucesso. Isto também pode impedir que várias funcionalidades da Microsoft funcionem corretamente, como a configuração do Office 365.

Verificações do Indicador de Status de Conectividade da Rede (NCSI) do Windows, usando sondas ativas e passivas, podem falhar quando o PC com Windows está conectado ao Cato.

Ambiente

PC com Windows atrás de uma tomada ou conectado via VPN da Cato.

Solução de Problemas

Quando o Windows se conecta a uma nova rede, ele verifica a conectividade com a Internet usando Sonda Ativa, que envolve uma série de tarefas. Após determinar que há conectividade com a Internet, o Windows muda para Sonda Passiva até que a conexão continue ativa.

Abaixo estão alguns passos de solução de problemas para cada tipo de sonda:

1. Sonda Ativa

O Windows usa sonda ativa para validar que a conectividade com a Internet é possível em cada interface de rede, depois atualiza o Indicador de Status de Conectividade (NCSI). Durante a sonda ativa, o Windows sonda vários servidores DNS da Microsoft e usa as respostas para determinar uma conexão ativa à Internet. 

Para mais informações, veja: Sondas ativas do NCSI e o alerta de status da rede

Para Windows 10 ou versões posteriores:

• O NCSI envia uma solicitação DNS para resolver o endereço dowww.msftconnecttest.comFQDN.

• Se o NCSI receber uma resposta válida de um servidor DNS, o NCSI envia uma solicitação HTTP GET simples parahttp://www.msftconnecttest.com/connecttest.txt.

• Se o NCSI baixar o arquivo de texto com sucesso, ele garante que o arquivo contenha Microsoft Connect Test.

• O NCSI envia outra solicitação DNS para resolver o endereço dodns.msftncsi.comFQDN.

  • Se alguma dessas solicitações falhar, o alerta de rede aparece na Barra de Tarefas. Se passar o mouse sobre o ícone, verá uma mensagem como "Sem conectividade" ou "Acesso limitado à Internet" (depende de quais solicitações falharam).
  • Se todos esses pedidos tiverem sucesso, a Barra de Tarefas mostra o ícone de rede usual. Se passar o mouse sobre o ícone, verá uma mensagem como "Acesso à Internet".

Se receber relatórios de que o Windows mostra sem conectividade com a Internet, verifique se alguma das conexões mencionadas acima está falhando. Capturar PCAPs e verificar Eventos/fluxos seria uma forma de verificar.

Verificações de registros NCSI

Também é possível registrar verificações ativas do NCSI usando o seguinte método:

• Iniciar o rastreamento emitindo o comando:

netsh trace start scenario=NetConnection tracefile=noint.etl

• Agora reproduza o problema (desconecte e reconecte o cliente da rede) e, em seguida, pare o rastreio com o comando:

netsh trace stop

• Aqui está um exemplo do tipo de informação que pode ser encontrada no arquivo de rastreamento:

Configuração do Registro do Windows bloqueando sondas ativas

É possível que sondas ativas sejam bloqueadas por uma configuração do Registro do Windows e, nesse caso, o Windows dependerá inteiramente das sondas passivas.

Verify that the following key has the default windows value:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections]
"WinHttpSettings"=hex:18,00,00,00,00,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00

No exemplo a seguir, um proxy do sistema modificou a chave de registro "WinHttpSettings" através do GPO, que importa esse valor de registro hexadecimal que substitui o valor que o Windows coloca automaticamente. Isso fará com que a sonda ativa falhe.

2. Sonda Passiva

O tráfego de rede ao vivo é capturado e analisado, sem interferir com a rede, ou seja, sem enviar quaisquer pacotes. A sonda passiva observa o TTL (Time To Live) no cabeçalho IP dos pacotes TCP/UDP, que pode determinar quantos "saltos" o pacote fez para chegar ao computador. Um pacote com mais de 8 saltos é considerado como tendo conectividade com a Internet.

O proxy TCP da Cato definiria o TTL nos cabeçalhos IP para 96 conforme ilustrado abaixo. A captura de pacotes pode ser realizada na máquina Windows para validar o valor TTL recebido.

Soluções Alternativas:

1. Defina a chave de registro abaixo para utilizar o adaptador WinTAP (camada 2) em vez do WinTUN (camada 3):
   Computer\HKEY_LOCAL_MACHINE\SOFTWARE\CatoNetworksVPN\UseWintun=0 (DWORD)
2. Altere a chave de registro abaixo para mudar para um novo modo onde a rota original não está sendo excluída.
   Computer\HKEY_LOCAL_MACHINE\SOFTWARE\CatoNetworksVPN\RTNoRemoveMode=1 (DWORD)

Abaixo estão os passos para editar/adicionar as chaves de registro:

• Abrir o Editor de Registros:

  • Pressione Win + R para abrir a caixa de diálogo Executar.
  • Digite regedit e pressione Enter. Isso abrirá o Editor de Registro.

• Navegar até a Chave:

  • No Editor de Registro, navegue até HKEY_LOCAL_MACHINE\SOFTWARE.
  • Se a chave CatoNetworksVPN não existir, você precisará criá-la. Clique com o botão direito na chave SOFTWARE, selecione Novo e, em seguida, escolha Chave. Nomeie a chave como CatoNetworksVPN.

• Criar o Valor DWORD:

  • Clique com o botão direito na chave CatoNetworksVPN que você acabou de criar.
  • Selecione Novo e, em seguida, escolha Valor DWORD (32 bits).
  • Nomeie o novo valor DWORD como UseWintun ou RTNoRemoveMode.

• Definir o Valor dos Dados:

  • Dê um duplo clique no valor DWORD UseWintun.
  • No campo "Dados do valor" apropriado, insira 0 ou 1(sem aspas).

• Confirmar e Fechar:

  • Clique em OK para salvar as mudanças.
  • Fechar o Editor de Registro.

• Reiniciar Seu Cliente VPN:

  • Reinicie o cliente VPN para que a chave de registro tenha efeito.