Waarom Always On VPN ophou om op die kantoornetwerk te aktiveer

Die skootrekenaar sluit by die kantoor se Wi-Fi aan, en die Always On-profiel wat van die huis af verbind het, bly af. Niks in die gebeurtenislogboek noem dit ’n fout nie, want vanuit die kliënt se oogpunt is die netwerk vertroud en die tonnel onnodig. Vertroude-netwerk-opsporing is die funksie wat daardie besluit neem, en dit vergelyk spesifieke waardes eerder as om ’n bekende SSID te herken. Wanneer die besluit verkeerd is, moet jy sien watter vergelyking geslaag het.

Wat die sneller eintlik vergelyk

Drie dinge moet saamval voordat die kliënt ’n netwerk as vertroud beskou. Eerstens, die verbinding-spesifieke DNS-agtervoegsel wat Windows vir die fisiese adapter aanteken, moet op die agtervoegsellys in die profiel voorkom. Tweedens, die verbindingsprofiel wat Windows vir daardie netwerk hou, moet die een wees wat die beleid verwag, want die passing is teen daardie profiel en nie teen ’n naam wat ’n gebruiker in ’n draadlose dialoog getik het nie. Derdens, die netwerk moet geklassifiseer word soos die beleid vereis, wat in die praktyk ’n domein- of privaatnetwerk beteken, of ’n toestel wie se beleid deur bestuur aangekom het. Laat enige een weg en die sneller vuur.

Dit is ’n smaller toets as om die VPN se publieke uitgangsadres te vergelyk, en baie smaller as om ’n SSID te vertrou. ’n Toegangspunt wat die korporatiewe naam weergee, voldoen nie op sigself aan die agtervoegsel- en profielvergelykings nie. Dit beteken ook die funksie sê niks oor of ’n netwerk veilig is nie; dit sê of hierdie toestel dink hy is al by die huis.

Lees eers die huidige toestand voordat jy die profiel verander

Begin met wat Windows tans glo. Die verbindingsprofiel-cmdlet rapporteer die netwerknaam, die koppelvlak en die kategorie wat Windows toegewys het, dit is die derde vergelyking hierbo. Lees dan die VPN-profiel en soek die lys van vertroude agtervoegsels, met ’n volledige eienskap-dump eerder as om eienskapname te raai:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

As daardie dump nie die vertroude agtervoegsel op jou bou blootlê nie, val terug op die profiel-XML, wat die gesaghebbende kopie is wanneer die eienskap-oppervlak tussen weergawes verskil. Lees die XML uit die bestuursbeleid of uit die alle-gebruikers-profielstoor, en vergelyk sy agtervoegsel-inskrywings met die adapter-agtervoegsel wat hierbo gerapporteer is. Teken albei waardes aan voordat jy enigeen aanraak.

Toets die grens in albei rigtings

Toets op die beoogde korporatiewe aansluiting en op een ander goedgekeurde netwerk, en skryf neer of die tonnel opgekom het. Toets dan dieselfde toestel nadat dit die netwerk verlaat het. ’n Skootrekenaar wat by die huis aktiveer en by die kantoor onderdruk, werk soos ontwerp, terwyl een wat nêrens ooit aktiveer nie, ’n ander fout het. Kontroleer of hulpbronne agter die tonnel bereikbaar is wanneer dit aktiveer, want ’n gestarte tonnel is nie bewys van ’n werkende pad nie.

Moenie ’n breë agtervoegsel byvoeg net om ’n kennisgewing te laat verdwyn nie. ’n Agtervoegsel wat op baie netwerke voorkom, leer die kliënt om die tonnel byna oral te onderdruk, en die ondersteuningslas wat daarop volg is erger as die kennisgewing. Verander die kriteria deur die profieleienaar, wat op ’n bestuurde vloot die MDM-administrateur is eerder as die persoon by die skootrekenaar.

Hou albei toetsnetwerke in die rekord saam met die resultaat. ’n Grens wat nooit getoets is nie, is net ’n bewering.

Skei onderdrukking van blokkering

’n Tonnel wat nie begin is nie, is nie ’n geblokkeerde verbinding nie. Vertroude-netwerk-opsporing beheer die outomatiese sneller, terwyl verkeersfiltrering en kill-switch-gedrag aparte beleidsinstellings met hul eie foutmodusse is. ’n Toestel op ’n vertroude netwerk mag wettig verkeer buite die tonnel stuur, en om dit ’n lek te noem sonder om die beleid te lees, verwar twee ontwerpe. Kontroleer die profiel se verkeersreëls voordat jy opsporing vir ’n lek blameer.

Dieselfde onderskeid verduidelik die omgekeerde klag. Gebruikers wat rapporteer dat die VPN lukraak opgehou het, beskryf gewoonlik ’n netwerkverandering wat aan die kriteria voldoen het, nie ’n diensfout nie. Die gepaste agtervoegsel en die netwerkkategorie is die bewyse om in te samel, en albei verskyn in die uitset hierbo.

Versamel daardie bewyse voordat jy beleid verander. ’n Skakelaar wat die simptoom wegsteek, steek ook die oorsaak weg.

Teken aan waarop die besluit gegrond was

Skryf die gepaste agtervoegsel, die verbindingsprofiel se naam en die netwerkkategorie in die ontplooiingsnotas vir elke perseel. Wanneer die tonnel nie opkom nie, verander daardie rekord ’n raaisel in ’n vergelyking: óf een van die drie waardes het verander, óf die beleid het. Dit gee ook die volgende ingenieur ’n manier om die ontwerp te bevestig in plaas van om opsporing af te skakel om die kaartjie te sluit.

Hersien die agtervoegsellys wanneer ’n perseel hernoem of ’n domein saamgevoeg word, want ’n verouderde inskrywing hou aan om die tonnel stilweg te onderdruk. Microsoft se verwysing vir vertroude-netwerk-opsporing lys die profielelemente en die ontplooiingsvoorvereistes, en dit is die dokument om aan te haal wanneer iemand voorstel om die lys te verbreed.