Hvorfor brugere slår Always On fra, og profilen holder det slået fra

En bruger fjerner fluebenet i Forbind automatisk, og profilen holder op med at forbinde. Måneder senere udgiver deployment-teamet en opdateret profil med samme navn, forventer at udløseren vender tilbage, og det gør den ikke. Årsagen er, at valget aldrig kun var i profilen: Windows registrerede brugerens beslutning på det profilnavn i sin egen tilstand, og en geninstallation rydder den ikke. Profilfilen er kun halvdelen af konfigurationen.

Hvad afkrydsningsfeltet egentlig skriver

Fjernelse af indstillingen for automatisk forbindelse er en beslutning per enhed, der gemmes uden for profilets XML. Microsoft dokumenterer den som en liste over profilnavne, hvis automatiske udløser er deaktiveret, og derfor overlever indstillingen, at profilen fjernes og tilføjes igen.

Det design giver mening set fra brugerens side. En på en databegrænset forbindelse, der slår automatisk forbindelse fra, forventer ikke, at næste politikopdatering stille slår den til igen.

Det betyder også, at profilnavnet er en identitet, ikke en etiket. To profiler med samme navn er den samme post for den liste, og en omdøbning skaber en ny identitet helt uden gemt præference.

Hvorfor geninstallation af profilen ikke nulstiller den

At slette en VPN-forbindelse og tilføje den igen fra en opdateret fil fjerner og genskaber profilobjektet. Det fjerner ikke registreringen af brugerens beslutning, fordi den registrering er nøglet på navn og ikke på profilets interne identifikator.

Så opdateringen ankommer, profilen findes og er korrekt konfigureret, og udløseren fyrer stadig ikke. Intet i profilen forklarer det, og derfor eskaleres det som en brudt udrulning.

Samme adfærd kan bruges bevidst: hold profilnavnet stabilt, når opdateringen skal bevare samme forbindelse, og ændr det kun, når du vil have en frisk start. Omdøbning for at slippe ud af en gemt præference virker, og den efterlader også den gamle post, så enheden samler navne, der ikke længere svarer til noget.

Beslut, hvilken af dem du vil have, før du rører XML, fordi navnet er kontakten.

Én aktiv profil, flere kvalificerede

Windows anvender automatiske udløsere på et begrænset sæt profiler, og flere kvalificerede profiler gør ikke dem alle til konkurrerende standardforbindelser. Én er aktiv, og de andre venter.

Det betyder noget, når en enhed modtager både en brugeromfattet og en enhedsomfattet profil med lignende navne. De er ikke den samme forbindelse, og den, der forbinder automatisk, er den, som udvælgelsesreglerne valgte, ikke nødvendigvis den, du testede. En test, der bestod på den anden profil, beviser intet om udløseren. Noter, hvilken profil der svarede, før du ændrer noget.

Læs den gemte tilstand før en opdatering

Før du udgiver nogen profilændring, se på, hvad enheden holder nu: forbindelsesobjektet, dets status og den gemte liste over deaktiverede automatiske udløsere.

Disse kommandoer viser VPN-forbindelserne og søger registreringsdatabasen for den dokumenterede værdi:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

En post, der matcher den profil, du er ved at udrulle, fortæller, at brugerens valg allerede er registreret. Det er ikke en fejl, der skal repareres i det stille; det er den tilstand, din politik skal tage højde for.

Beslut, hvilken politik du vil have

Der findes to forsvarlige politikker og én dårlig vane. Den første respekterer brugerens fravalg, indtil brugeren ændrer det, og dokumenterer, at udløseren er vejledende på administrerede enheder. Den anden behandler automatisk forbindelse som et compliancekrav, og så bør fravalget slet ikke tilbydes.

Den dårlige vane er at overskrive urelateret tilstand for at tvinge udløseren tilbage, hvilket virker indtil næste opdatering og efterlader enheden med indstillinger, som ingen kan forklare.

Skriv valget ned, hvor profilen vedligeholdes, sammen med de fire overgange, der er værd at gennemgå: første klargøring, en normal udløser, en tilladt brugerændring og en opdatering til samme navn. Automation, routingomfang og håndhævelse af afbrudt tilstand er separate kontroller, og etiketten Always On er ingen garanti for nogen af dem.