Γιατί το Always On VPN σταματά να ενεργοποιείται στο δίκτυο του γραφείου

Ο φορητός υπολογιστής συνδέεται στο Wi-Fi του γραφείου και το προφίλ Always On που συνδεόταν από το σπίτι παραμένει ανενεργό. Τίποτα στο αρχείο συμβάντων δεν το χαρακτηρίζει αποτυχία, γιατί από την πλευρά του πελάτη το δίκτυο είναι έμπιστο και η σήραγγα περιττή. Η ανίχνευση έμπιστου δικτύου είναι η λειτουργία που παίρνει αυτή την απόφαση και συγκρίνει συγκεκριμένες τιμές αντί να αναγνωρίζει ένα οικείο SSID. Όταν η απόφαση είναι λανθασμένη, πρέπει να δείτε ποια σύγκριση πέρασε.

Τι συγκρίνει στην πραγματικότητα το έναυσμα

Τρία πράγματα πρέπει να συμπέσουν πριν ο πελάτης θεωρήσει ένα δίκτυο έμπιστο. Πρώτον, το επίθημα DNS ειδικά για τη σύνδεση που καταγράφουν τα Windows για τον φυσικό προσαρμογέα πρέπει να εμφανίζεται στη λίστα επιθημάτων του προφίλ. Δεύτερον, το προφίλ σύνδεσης που διατηρούν τα Windows για αυτό το δίκτυο πρέπει να είναι αυτό που περιμένει η πολιτική, επειδή η αντιστοίχιση γίνεται με αυτό το προφίλ και όχι με ένα όνομα που πληκτρολόγησε ο χρήστης σε παράθυρο ασύρματης σύνδεσης. Τρίτον, το δίκτυο πρέπει να ταξινομηθεί όπως απαιτεί η πολιτική, που στην πράξη σημαίνει δίκτυο τομέα ή ιδιωτικό δίκτυο, ή συσκευή της οποίας η πολιτική ήρθε μέσω διαχείρισης. Αφαιρέστε οποιοδήποτε από αυτά και το έναυσμα ενεργοποιείται.

Πρόκειται για στενότερη δοκιμή από τη σύγκριση της δημόσιας διεύθυνσης εξόδου του VPN και πολύ στενότερη από την εμπιστοσύνη σε ένα SSID. Ένα σημείο πρόσβασης που επαναλαμβάνει την εταιρική ονομασία δεν ικανοποιεί από μόνο του τις συγκρίσεις επιθήματος και προφίλ. Σημαίνει επίσης ότι η λειτουργία δεν λέει τίποτα για το αν ένα δίκτυο είναι ασφαλές· λέει αν αυτή η συσκευή πιστεύει ότι βρίσκεται ήδη στο σπίτι.

Διαβάστε την τρέχουσα κατάσταση πριν αλλάξετε το προφίλ

Ξεκινήστε από το τι πιστεύουν αυτή τη στιγμή τα Windows. Η cmdlet του προφίλ σύνδεσης αναφέρει το όνομα του δικτύου, τη διεπαφή και την κατηγορία που εκχώρησαν τα Windows, που είναι η τρίτη σύγκριση παραπάνω. Στη συνέχεια διαβάστε το προφίλ VPN και αναζητήστε τη λίστα έμπιστων επιθημάτων, χρησιμοποιώντας πλήρη εκτύπωση ιδιοτήτων αντί να μαντεύετε ονόματα ιδιοτήτων:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Αν αυτή η εκτύπωση δεν αποκαλύπτει το έμπιστο επίθημα στην έκδοσή σας, καταφύγετε στο XML του προφίλ, που είναι το έγκυρο αντίγραφο όταν η επιφάνεια ιδιοτήτων διαφέρει μεταξύ εκδόσεων. Διαβάστε το XML από την πολιτική διαχείρισης ή από τον χώρο αποθήκευσης προφίλ όλων των χρηστών και συγκρίνετε τις καταχωρίσεις επιθημάτων του με το επίθημα προσαρμογέα που αναφέρθηκε παραπάνω. Καταγράψτε και τις δύο τιμές πριν αγγίξετε οποιαδήποτε από αυτές.

Δοκιμάστε το όριο και προς τις δύο κατευθύνσεις

Δοκιμάστε στην προβλεπόμενη εταιρική σύνδεση και σε ένα ακόμη εγκεκριμένο δίκτυο και σημειώστε αν ανυψώθηκε η σήραγγα. Στη συνέχεια δοκιμάστε την ίδια συσκευή αφού αποχωρήσει. Ένας φορητός που ενεργοποιείται στο σπίτι και καταστέλλεται στο γραφείο συμπεριφέρεται όπως έχει σχεδιαστεί, ενώ ένας που δεν ενεργοποιείται πουθενά έχει άλλη βλάβη. Ελέγξτε ότι οι πόροι πίσω από τη σήραγγα είναι προσβάσιμοι όταν ενεργοποιείται, γιατί μια σήραγγα που ξεκίνησε δεν αποδεικνύει λειτουργική διαδρομή.

Μην προσθέσετε ένα ευρύ επίθημα μόνο και μόνο για να εξαφανιστεί μια ειδοποίηση. Ένα επίθημα που εμφανίζεται σε πολλά δίκτυα διδάσκει στον πελάτη να καταστέλλει τη σήραγγα σχεδόν παντού, και το φορτίο υποστήριξης που ακολουθεί είναι χειρότερο από την ειδοποίηση. Αλλάξτε τα κριτήρια μέσω του ιδιοκτήτη του προφίλ, που σε διαχειριζόμενο στόλο είναι ο διαχειριστής MDM και όχι το άτομο στον φορητό.

Κρατήστε και τα δύο δοκιμαστικά δίκτυα στο αρχείο μαζί με το αποτέλεσμα. Ένα όριο που δεν δοκιμάστηκε ποτέ είναι μόνο ισχυρισμός.

Διαχωρίστε την καταστολή από τον αποκλεισμό

Μια σήραγγα που δεν ξεκίνησε δεν είναι αποκλεισμένη σύνδεση. Η ανίχνευση έμπιστου δικτύου ελέγχει την αυτόματη ενεργοποίηση, ενώ το φιλτράρισμα κίνησης και η συμπεριφορά kill-switch είναι ξεχωριστές ρυθμίσεις πολιτικής με δικούς τους τρόπους αστοχίας. Μια συσκευή σε έμπιστο δίκτυο μπορεί νόμιμα να στέλνει κίνηση εκτός της σήραγγας, και το να το αποκαλείς διαρροή χωρίς να διαβάσεις την πολιτική μπερδεύει δύο σχεδιασμούς. Ελέγξτε τους κανόνες κίνησης του προφίλ πριν κατηγορήσετε την ανίχνευση για διαρροή.

Η ίδια διάκριση εξηγεί το αντίστροφο παράπονο. Οι χρήστες που αναφέρουν ότι το VPN σταμάτησε τυχαία περιγράφουν συνήθως μια αλλαγή δικτύου που ικανοποίησε τα κριτήρια, όχι βλάβη υπηρεσίας. Το ταιριαστό επίθημα και η κατηγορία δικτύου είναι τα στοιχεία που πρέπει να συλλέξετε, και τα δύο εμφανίζονται στην έξοδο παραπάνω.

Συλλέξτε αυτά τα στοιχεία πριν αλλάξετε πολιτική. Ένας διακόπτης που κρύβει το σύμπτωμα κρύβει και την αιτία.

Καταγράψτε σε τι βασίστηκε η απόφαση

Γράψτε το ταιριαστό επίθημα, το όνομα του προφίλ σύνδεσης και την κατηγορία δικτύου στις σημειώσεις ανάπτυξης για κάθε τοποθεσία. Όταν η σήραγγα δεν ανυψώνεται, αυτή η καταγραφή μετατρέπει ένα μυστήριο σε σύγκριση: είτε άλλαξε μία από τις τρεις τιμές είτε η πολιτική. Δίνει επίσης στον επόμενο μηχανικό τρόπο να επιβεβαιώσει τον σχεδιασμό αντί να απενεργοποιήσει την ανίχνευση για να κλείσει το αίτημα.

Επανεξετάστε τη λίστα επιθημάτων όταν μια τοποθεσία μετονομάζεται ή ένας τομέας ενοποιείται, γιατί μια παρωχημένη καταχώριση συνεχίζει να καταστέλλει τη σήραγγα σιωπηλά. Η αναφορά της Microsoft για την ανίχνευση έμπιστου δικτύου απαριθμεί τα στοιχεία του προφίλ και τις προϋποθέσεις ανάπτυξης, και είναι το έγγραφο που επικαλείται όποιος προτείνει να διευρυνθεί η λίστα.