Warum Nutzer Always On abschalten und das Profil es abgeschaltet lässt

Ein Nutzer entfernt das Häkchen bei Automatisch verbinden, und das Profil stellt das Verbinden ein. Monate später verteilt das Deployment-Team ein aktualisiertes Profil mit demselben Namen, erwartet die Rückkehr des Auslösers – und er kehrt nicht zurück. Der Grund ist, dass die Wahl nie nur im Profil lag: Windows hat die Entscheidung des Nutzers zu diesem Profilnamen in seinem eigenen Zustand festgehalten, und eine Neuinstallation löscht ihn nicht. Die Profildatei ist nur die Hälfte der Konfiguration.

Was das Kontrollkästchen tatsächlich schreibt

Das Entfernen der automatischen Verbindungsoption ist eine gerätebezogene Entscheidung, die außerhalb der Profil-XML gespeichert wird. Microsoft dokumentiert sie als Liste von Profilnamen, deren automatischer Auslöser deaktiviert ist, weshalb die Einstellung das Entfernen und erneute Hinzufügen des Profils übersteht.

Dieses Design ergibt aus Nutzersicht Sinn. Wer über eine datenbegrenzte Verbindung verfügt und die automatische Verbindung abschaltet, erwartet nicht, dass die nächste Richtlinienaktualisierung sie stillschweigend wieder einschaltet.

Es bedeutet auch, dass der Profilname eine Identität ist, keine Bezeichnung. Zwei Profile mit demselben Namen sind für diese Liste derselbe Eintrag, und eine Umbenennung erzeugt eine neue Identität ganz ohne gespeicherte Präferenz.

Warum eine Neuinstallation des Profils es nicht zurücksetzt

Das Löschen einer VPN-Verbindung und das erneute Hinzufügen aus einer aktualisierten Datei entfernt und erzeugt das Profilobjekt neu. Es entfernt nicht den Eintrag über die Entscheidung des Nutzers, weil dieser Eintrag am Namen hängt und nicht an der internen Kennung des Profils.

Also kommt das Update an, das Profil ist vorhanden und korrekt konfiguriert, und der Auslöser greift trotzdem nicht. Nichts im Profil erklärt das, weshalb dies als fehlerhaftes Deployment eskaliert wird.

Dasselbe Verhalten lässt sich bewusst nutzen: Halten Sie den Profilnamen stabil, wenn das Update dieselbe Verbindung erhalten soll, und ändern Sie ihn nur, wenn Sie einen Neuanfang wollen. Das Umbenennen, um einer gespeicherten Präferenz zu entgehen, funktioniert und lässt zugleich den alten Eintrag zurück, sodass das Gerät Namen anhäuft, die zu nichts mehr passen.

Entscheiden Sie, welche der beiden Möglichkeiten Sie wollen, bevor Sie die XML anfassen, denn der Name ist der Schalter.

Ein aktives Profil, mehrere geeignete

Windows wendet automatische Auslöser auf eine begrenzte Menge von Profilen an, und mehrere geeignete Profile führen nicht dazu, dass alle als konkurrierende Standardverbindungen verbinden. Eines ist aktiv, die anderen warten.

Das ist wichtig, wenn ein Gerät sowohl ein benutzerbezogenes als auch ein gerätebezogenes Profil mit ähnlichen Namen erhält. Sie sind nicht dieselbe Verbindung, und das automatisch verbindende ist das, das die Auswahlregeln gewählt haben, nicht unbedingt das, das Sie getestet haben. Ein Test, der beim anderen Profil bestanden hat, beweist nichts über den Auslöser. Notieren Sie, welches Profil geantwortet hat, bevor Sie etwas ändern.

Lesen Sie den gespeicherten Zustand vor einem Update

Bevor Sie irgendeine Profiländerung ausliefern, sehen Sie nach, was das Gerät derzeit hält: das Verbindungsobjekt, seinen Status und die gespeicherte Liste der deaktivierten automatischen Auslöser.

Diese Befehle listen die VPN-Verbindungen auf und suchen die dokumentierte Einstellung in der Registrierung:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

Ein Eintrag, der zu dem Profil passt, das Sie bereitstellen wollen, sagt Ihnen, dass die Wahl des Nutzers bereits festgehalten ist. Das ist kein Fehler, der stillschweigend zu beheben wäre; es ist der Zustand, den Ihre Richtlinie berücksichtigen muss.

Entscheiden Sie, welche Richtlinie Sie wollen

Es gibt zwei vertretbare Richtlinien und eine schlechte Angewohnheit. Die erste respektiert den Widerspruch des Nutzers, bis der Nutzer ihn ändert, und dokumentiert, dass der Auslöser auf verwalteten Geräten empfehlend ist. Die zweite behandelt automatisches Verbinden als Compliance-Anforderung, und dann sollte der Widerspruch gar nicht erst angeboten werden.

Die schlechte Angewohnheit ist, unzusammenhängenden Zustand zu überschreiben, um den Auslöser zurückzuzwingen; das funktioniert bis zur nächsten Aktualisierung und hinterlässt ein Gerät mit Einstellungen, die niemand erklären kann.

Halten Sie die Wahl dort fest, wo das Profil gepflegt wird, zusammen mit den vier Übergängen, die es zu prüfen lohnt: Erstbereitstellung, ein normaler Auslöser, eine erlaubte Nutzeränderung und ein Update auf denselben Namen. Automatisierung, Routingumfang und Durchsetzung des getrennten Zustands sind getrennte Kontrollen, und das Label Always On ist keine Garantie für irgendeine davon.