Чаму Always On VPN перастае запусціцца ў офісным сеціве

Ноўтбук далучаецца да офіснага Wi-Fi, і профіль Always On, які далучыўся з дому, застаецца выключаным. Нішто ў журнале падзей не называе гэта збоем, бо з пункту гледжання кліента сетка давераная, а тунель не патрэбны. Рашэнне прымае функцыя вызначэння давераных сетак, і яна параўноўвае пэўныя значэнні, а не пазнае знаёмы SSID. Калі рашэнне памылковае, трэба ўбачыць, якое параўнанне прайшло.

Што насамрэч параўноўвае трыгер

Тры ўмовы павінны супасці, перш чым кліент палічыць сетку даверанай. Па-першае, DNS-суфікс, спецыфічны для злучэння, які Windows запісвае для фізічнага адаптара, мусіць быць у спісе суфіксаў у профілі. Па-другое, профіль злучэння, які Windows трымае для гэтай сеткі, мусіць быць тым, якога чакае палітыка, бо супастаўленне ідзе з гэтым профілем, а не з імем, якое карыстальнік увёў у бесправадным дыялогу. Па-трэцяе, сетка мусіць быць класіфікавана так, як патрабуе палітыка, што на практыцы азначае даменную ці прыватную сетку або прыладу, чыя палітыка прыйшла праз кіраванне. Прыбярыце любую з іх — і трыгер спрацуе.

Гэта больш вузкая праверка, чым параўнанне публічнага адраса выхаду VPN, і значна вузейшая за давер да SSID. Кропка доступу, якая паўтарае карпаратыўнае імя, сама па сабе не задавальняе параўнанні суфікса і профілю. Гэта таксама азначае, што функцыя нічога не кажа пра бяспеку сеткі; яна кажа, ці лічыць гэтая прылада, што ўжо знаходзіцца ў сябе.

Прачытайце бягучы стан, перш чым змяняць профіль

Пачніце з таго, што Windows лічыць зараз. Камандлет профілю злучэння паведамляе імя сеткі, інтэрфейс і катэгорыю, якую прызначыў Windows, а гэта і ёсць трэцяе параўнанне вышэй. Затым прачытайце профіль VPN і знайдзіце спіс давераных суфіксаў, выкарыстоўваючы поўны дамп уласцівасцей замест здагадак пра іх імёны:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Калі гэты дамп не паказвае давераны суфікс у вашай зборцы, вярніцеся да XML профілю, бо менавіта ён з’яўляецца аўтарытэтным асобнікам, калі набор уласцівасцей адрозніваецца паміж версіямі. Прачытайце XML з палітыкі кіравання або са сховішча профіляў для ўсіх карыстальнікаў і параўнайце яго запісы суфіксаў з суфіксам адаптара, паведамленым вышэй. Запішыце абодва значэнні, перш чым чапаць любое з іх.

Праверце мяжу ў абодвух кірунках

Праверце на прызначаным карпаратыўным падключэнні і на адной іншай ухваленай сетцы і запішыце, ці ўзняўся тунель. Затым праверце тую ж прыладу пасля сыходу. Ноўтбук, які запускаецца дома і не запускаецца ў офісе, працуе як задумана, а той, што не запускаецца нідзе, мае іншую няспраўнасць. Пераканайцеся, што рэсурсы за тунелем дасягальныя ў выпадку запуску, бо запушчаны тунель не з’яўляецца доказам працоўнага шляху.

Не дадавайце шырокі суфікс толькі дзеля таго, каб знікла паведамленне. Суфікс, які сустракаецца ў многіх сетках, вучыць кліента адключаць тунель амаль усюды, і нагрузка на падтрымку, што за гэтым ідзе, горш за паведамленне. Змяняйце крытэрыі праз уладальніка профілю, якім у кіраваным парку з’яўляецца адміністратар MDM, а не чалавек за ноўтбукам.

Трымайце абедзве тэставыя сеткі ў запісе разам з вынікам. Мяжа, якую ніколі не правяралі, — гэта толькі заява.

Аддзяліце адключэнне ад блакавання

Тунель, які не запусціўся, — гэта не заблакаванае злучэнне. Вызначэнне давераных сетак кіруе аўтазапускам, а фільтраванне трафіку і паводзіны kill-switch — гэта асобныя налады палітыкі з уласнымі рэжымамі збояў. Прылада ў даверанай сетцы можа цалкам законна адпраўляць трафік па-за тунелем, і называць гэта ўцечкай, не прачытаўшы палітыку, значыць блытаць дзве канструкцыі. Праверце правілы трафіку профілю, перш чым вінаваціць вызначэнне ва ўцечцы.

Тое ж адрозненне тлумачыць зваротную скаргу. Карыстальнікі, якія паведамляюць, што VPN спыніўся выпадкова, звычайна апісваюць змену сеткі, якая задаволіла крытэрыі, а не збой сэрвісу. Супаўшы суфікс і катэгорыя сеткі — гэта доказы, якія трэба сабраць, і абодва бачныя ў вывадзе вышэй.

Сабірайце гэтыя доказы, перш чым змяняць палітыку. Перамыкач, які хавае сімптом, хавае і прычыну.

Запішыце, на чым грунтавалася рашэнне

Запішыце супаўшы суфікс, імя профілю злучэння і катэгорыю сеткі ў нататкі пра разгортванне для кожнай пляцоўкі. Калі тунель не ўзнімаецца, гэты запіс ператварае загадку ў параўнанне: альбо адно з трох значэнняў змянілася, альбо палітыка. Ён таксама дае наступнаму інжынеру спосаб пацвердзіць канструкцыю замест таго, каб адключаць вызначэнне дзеля закрыцця заяўкі.

Пераглядайце спіс суфіксаў, калі пляцоўка пераймяноўваецца або дамен узбуйняецца, бо састарэлы запіс працягвае моўчкі адключаць тунель. Даведнік Microsoft па вызначэнні давераных сетак пералічвае элементы профілю і перадумовы разгортвання, і гэта той дакумент, на які спасылаюцца, калі хтосьці прапануе пашырыць спіс.