Hvorfor Always On VPN holder op med at udløses på kontornetværket

Den bærbare computer tilslutter sig kontorets Wi-Fi, og den Always On-profil, der blev forbundet hjemmefra, forbliver nede. Intet i hændelsesloggen kalder det en fejl, for fra klientens synspunkt er netværket betroet, og tunnelen er unødvendig. Registrering af betroet netværk er den funktion, der træffer den beslutning, og den sammenligner bestemte værdier i stedet for at genkende et velkendt SSID. Når beslutningen er forkert, skal du se, hvilken sammenligning der gik igennem.

Hvad udløseren faktisk sammenligner

Tre ting skal passe sammen, før klienten betragter et netværk som betroet. For det første skal det forbindelsesspecifikke DNS-suffiks, som Windows registrerer for den fysiske adapter, stå på suffikslisten i profilen. For det andet skal den forbindelsesprofil, Windows har for netværket, være den, politikken forventer, fordi matchningen sker mod den profil og ikke mod et navn, en bruger har skrevet i en trådløs dialog. For det tredje skal netværket klassificeres, som politikken kræver, hvilket i praksis betyder et domæne- eller privatnetværk eller en enhed, hvis politik er kommet via styring. Fjern en af dem, og udløseren aktiveres.

Det er en snævrere test end at sammenligne VPN'ens offentlige udgangsadresse og meget snævrere end at stole på et SSID. Et adgangspunkt, der gentager virksomhedsnavnet, opfylder ikke alene suffiks- og profilsammenligningerne. Det betyder også, at funktionen intet siger om, hvorvidt et netværk er sikkert; den siger, om denne enhed mener, at den allerede er hjemme.

Læs den aktuelle tilstand, før du ændrer profilen

Start med det, Windows mener lige nu. Cmdletten for forbindelsesprofil rapporterer netværksnavnet, grænsefladen og den kategori, Windows har tildelt, og det er den tredje sammenligning ovenfor. Læs derefter VPN-profilen, og find listen over betroede suffikser ved at bruge et fuldt egenskabsdump i stedet for at gætte på egenskabsnavne:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Hvis det dump ikke viser det betroede suffiks på din build, så fald tilbage til profilens XML, som er den autoritative kopi, når egenskabsoverfladen er forskellig mellem versioner. Læs XML'en fra styringspolitikken eller fra profillageret for alle brugere, og sammenlign dens suffiksposter med adapterens suffiks, der blev rapporteret ovenfor. Noter begge værdier, før du rører nogen af dem.

Test grænsen i begge retninger

Test på den tilsigtede virksomhedstilslutning og på et andet godkendt netværk, og skriv ned, om tunnelen kom op. Test derefter den samme enhed, efter at du har forladt netværket. En bærbar computer, der udløses derhjemme og undertrykkes på kontoret, opfører sig som designet, mens en, der aldrig udløses noget sted, har en anden fejl. Kontroller, at ressourcerne bag tunnelen er tilgængelige, når den udløses, fordi en startet tunnel ikke er bevis på en fungerende vej.

Tilføj ikke et bredt suffiks bare for at få en meddelelse til at forsvinde. Et suffiks, der optræder på mange netværk, lærer klienten at undertrykke tunnelen næsten overalt, og den supportbyrde, der følger, er værre end meddelelsen. Ændr kriterierne gennem profilejeren, som i en administreret flåde er MDM-administratoren og ikke personen ved computeren.

Hold begge testnetværk i posten sammen med resultatet. En grænse, der aldrig er testet, er kun en påstand.

Skeln undertrykkelse fra blokering

En tunnel, der ikke blev startet, er ikke en blokeret forbindelse. Registrering af betroet netværk styrer den automatiske udløsning, mens trafikfiltrering og kill-switch-adfærd er separate politikindstillinger med deres egne fejltilstande. En enhed på et betroet netværk kan med rette sende trafik uden om tunnelen, og at kalde det en lækage uden at læse politikken forveksler to design. Kontroller profilens trafikregler, før du giver registreringen skylden for en lækage.

Den samme sondring forklarer den omvendte klage. Brugere, der rapporterer, at VPN'en stoppede tilfældigt, beskriver normalt en netværksændring, der opfyldte kriterierne, ikke en servicefejl. Det matchede suffiks og netværkskategorien er de beviser, der skal indsamles, og begge optræder i outputtet ovenfor.

Indsaml de beviser, før du ændrer politik. En kontakt, der skjuler symptomet, skjuler også årsagen.

Noter, hvad beslutningen byggede på

Skriv det matchede suffiks, forbindelsesprofilens navn og netværkskategorien i udrulningsnotaterne for hvert sted. Når tunnelen ikke kommer op, forvandler den post et mysterium til en sammenligning: enten er en af de tre værdier ændret, eller politikken er. Det giver også den næste ingeniør en måde at bekræfte designet i stedet for at deaktivere registreringen for at lukke sagen.

Gennemgå suffikslisten, når et sted omdøbes eller et domæne konsolideres, fordi en forældet post fortsætter med at undertrykke tunnelen i stilhed. Microsofts reference for registrering af betroet netværk lister profilelementerne og forudsætningerne for udrulning, og det er det dokument, der skal citeres, når nogen foreslår at udvide listen.