Proč se Always On VPN na podnikové síti přestane spouštět

Notebook se připojí k firemnímu Wi-Fi a profil Always On, který se připojoval z domova, zůstane vypnutý. Nic v protokolu událostí to nenazývá selháním, protože z pohledu klienta je síť důvěryhodná a tunel není potřeba. Rozhodnutí dělá funkce rozpoznání důvěryhodné sítě a porovnává konkrétní hodnoty, místo aby rozeznala známé SSID. Když je rozhodnutí chybné, potřebujete vidět, které porovnání prošlo.

Co spouštěč vlastně porovnává

Než klient považuje síť za důvěryhodnou, musí se sejít tři věci. Za prvé, přípona DNS specifická pro připojení, kterou Windows zaznamenává pro fyzický adaptér, se musí objevit v seznamu přípon v profilu. Za druhé, profil připojení, který Windows pro danou síť vede, musí být ten, který očekává politika, protože shoda se porovnává s tímto profilem, nikoli s názvem, který uživatel zadal do bezdrátového dialogu. Za třetí, síť musí být klasifikována tak, jak politika vyžaduje, což v praxi znamená doménovou nebo privátní síť, případně zařízení, jehož politika dorazila správou. Vyjměte kteroukoli z nich a spouštěč se aktivuje.

Je to užší test než porovnávání veřejné výstupní adresy VPN a mnohem užší než důvěra v SSID. Přístupový bod, který opakuje firemní název, sám o sobě nesplňuje porovnání přípony a profilu. Znamená to také, že funkce nic neříká o tom, zda je síť bezpečná; říká, zda toto zařízení věří, že už je doma.

Přečtěte si aktuální stav, než změníte profil

Začněte tím, co Windows právě teď považuje za pravdu. Rutina cmdletu profilu připojení hlásí název sítě, rozhraní a kategorii, kterou Windows přiřadil, což je třetí porovnání výše. Potom přečtěte profil VPN a najděte seznam důvěryhodných přípon, s úplným výpisem vlastností místo hádání jejich názvů:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Pokud tento výpis ve vaší sestavě důvěryhodnou příponu neodhalí, vraťte se k XML profilu, které je autoritativní kopií, když se sada vlastností mezi verzemi liší. Přečtěte XML ze zásady správy nebo z úložiště profilů pro všechny uživatele a porovnejte jeho položky přípon s příponou adaptéru uvedenou výše. Zapište obě hodnoty, než se dotknete kterékoli z nich.

Otestujte hranici v obou směrech

Otestujte to na zamýšleném firemním připojení a na jedné další schválené síti a zapište, zda se tunel zvedl. Potom otestujte stejné zařízení po odchodu. Notebook, který se doma spustí a v kanceláři potlačí, se chová podle návrhu, zatímco ten, který se nespustí nikde, má jinou závadu. Ověřte, zda jsou prostředky za tunelem při spuštění dostupné, protože spuštěný tunel není důkazem funkční cesty.

Nepřidávejte širokou příponu jen proto, aby zmizelo oznámení. Přípona, která se objevuje na mnoha sítích, učí klienta potlačovat tunel téměř všude a zátěž podpory, která následuje, je horší než oznámení. Měňte kritéria prostřednictvím vlastníka profilu, kterým ve spravované flotile je správce MDM, ne osoba u notebooku.

Uchovejte obě testovací sítě v záznamu vedle výsledku. Hranice, která nebyla nikdy otestována, je jen tvrzení.

Oddělte potlačení od blokování

Tunel, který se nespustil, není zablokované připojení. Rozpoznání důvěryhodné sítě řídí automatické spuštění, zatímco filtrování provozu a chování kill-switch jsou samostatná nastavení politiky s vlastními režimy selhání. Zařízení v důvěryhodné síti může oprávněně posílat provoz mimo tunel a nazývat to únikem bez přečtení politiky znamená plést dva návrhy. Před obviněním rozpoznání z úniku zkontrolujte dopravní pravidla profilu.

Stejné rozlišení vysvětluje opačnou stížnost. Uživatelé, kteří hlásí, že se VPN náhodně zastavila, obvykle popisují změnu sítě, která splnila kritéria, ne selhání služby. Shodná přípona a kategorie sítě jsou důkazy, které je třeba shromáždit, a obojí se objevuje ve výstupu výše.

Shromážděte tyto důkazy, než změníte politiku. Přepínač, který skrývá příznak, skrývá i příčinu.

Zapište, na čem bylo rozhodnutí založeno

Zapište shodnou příponu, název profilu připojení a kategorii sítě do poznámek k nasazení pro každou lokalitu. Když se tunel nezvedne, tento záznam promění záhadu v porovnání: buď se změnila jedna ze tří hodnot, nebo politika. Také dává dalšímu inženýrovi způsob, jak potvrdit návrh, místo aby vypínal rozpoznání kvůli uzavření tiketu.

Seznam přípon procházejte, když se lokalita přejmenuje nebo se doména konsoliduje, protože zastaralá položka dál tiše potlačuje tunel. Referenční dokumentace Microsoftu k rozpoznání důvěryhodné sítě uvádí prvky profilu a předpoklady nasazení a je to dokument, který je třeba citovat, když někdo navrhne seznam rozšířit.