Per què Always On VPN deixa d’activar-se a la xarxa de l’oficina

L’ordinador portàtil s’uneix al Wi-Fi de l’oficina, i el perfil Always On que connectava des de casa es queda aturat. Res del registre d’esdeveniments no ho anomena error, perquè des del punt de vista del client la xarxa és de confiança i el túnel és innecessari. La detecció de xarxa de confiança és la funció que pren aquesta decisió, i compara valors concrets en lloc de reconèixer un SSID familiar. Quan la decisió és errònia, cal veure quina comparació ha passat.

Què compara realment l’activador

Tres coses han de coincidir abans que el client tracti una xarxa com a de confiança. Primer, el sufix DNS específic de la connexió que Windows registra per a l’adaptador físic ha d’aparèixer a la llista de sufixos del perfil. Segon, el perfil de connexió que Windows manté per a aquesta xarxa ha de ser el que la política espera, perquè la coincidència es fa amb aquest perfil i no amb un nom que un usuari hagi escrit en un diàleg sense fil. Tercer, la xarxa ha de classificar-se tal com exigeix la política, cosa que en la pràctica vol dir una xarxa de domini o privada, o un dispositiu la política del qual ha arribat per gestió. Traieu-ne qualsevol i l’activador es dispara.

Aquesta prova és més estreta que comparar l’adreça de sortida pública de la VPN, i molt més estreta que confiar en un SSID. Un punt d’accés que repeteix el nom corporatiu no satisfà per si sol les comparacions de sufix i de perfil. També vol dir que la funció no diu res sobre si una xarxa és segura; diu si aquest dispositiu creu que ja és a casa.

Llegiu l’estat actual abans de canviar el perfil

Comenceu pel que Windows creu ara. El cmdlet de perfil de connexió informa del nom de la xarxa, de la interfície i de la categoria que Windows ha assignat, que és la tercera comparació d’aquí dalt. Després llegiu el perfil de la VPN i busqueu la llista de sufixos de confiança, amb un bolcat complet de propietats en lloc d’endevinar-ne els noms:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Si aquest bolcat no exposa el sufix de confiança a la vostra compilació, torneu a l’XML del perfil, que és la còpia autoritzada quan la superfície de propietats difereix entre versions. Llegiu l’XML de la política de gestió o del magatzem de perfils de tots els usuaris, i compareu-ne les entrades de sufix amb el sufix de l’adaptador informat més amunt. Anoteu tots dos valors abans de tocar-ne cap.

Proveu la frontera en tots dos sentits

Proveu a l’adjunció corporativa prevista i en una altra xarxa aprovada, i anoteu si el túnel s’ha aixecat. Després proveu el mateix dispositiu després de sortir-ne. Un portàtil que s’activa a casa i se suprimeix a l’oficina es comporta tal com es va dissenyar, mentre que un que no s’activa enlloc té una altra fallada. Comproveu que els recursos darrere del túnel siguin accessibles quan s’activa, perquè un túnel iniciat no és prova d’un camí que funcioni.

No afegiu un sufix ampli només perquè desaparegui una notificació. Un sufix que apareix en moltes xarxes ensenya el client a suprimir el túnel gairebé a tot arreu, i la càrrega de suport que en segueix és pitjor que la notificació. Canvieu els criteris a través del propietari del perfil, que en una flota gestionada és l’administrador de MDM i no la persona davant del portàtil.

Guardeu les dues xarxes de prova al registre al costat del resultat. Una frontera que mai no s’ha provat només és una afirmació.

Separeu la supressió del bloqueig

Un túnel que no s’ha iniciat no és una connexió bloquejada. La detecció de xarxa de confiança controla l’activació automàtica, mentre que el filtratge de trànsit i el comportament de kill-switch són paràmetres de política separats amb modes de fallada propis. Un dispositiu en una xarxa de confiança pot enviar trànsit fora del túnel legítimament, i anomenar-ho fuita sense llegir la política confon dos dissenys. Reviseu les regles de trànsit del perfil abans de culpar la detecció d’una fuita.

La mateixa distinció explica la queixa inversa. Els usuaris que informen que la VPN s’ha aturat aleatòriament solen descriure un canvi de xarxa que va satisfer els criteris, no una fallada del servei. El sufix coincident i la categoria de xarxa són les proves que cal recollir, i totes dues apareixen a la sortida anterior.

Recolliu aquestes proves abans de canviar la política. Un commutador que amaga el símptoma també amaga la causa.

Anoteu en què es va basar la decisió

Escriviu el sufix coincident, el nom del perfil de connexió i la categoria de xarxa a les notes de desplegament de cada lloc. Quan el túnel no s’aixeca, aquest registre converteix un misteri en una comparació: o ha canviat un dels tres valors, o ha canviat la política. També dona al proper enginyer una manera de confirmar el disseny en lloc de desactivar la detecció per tancar el tiquet.

Reviseu la llista de sufixos quan es reanomeni un lloc o es consolidi un domini, perquè una entrada obsoleta continua suprimint el túnel en silenci. La referència de Microsoft sobre la detecció de xarxa de confiança llista els elements del perfil i els requisits previs de desplegament, i és el document que cal citar quan algú proposa ampliar la llista.