Kial Always On VPN ĉesas ekaktivigi en la oficeja reto

La tekkomputilo aliĝas al la oficeja Wi-Fi, kaj la profilo Always On, kiu konektiĝis de hejme, restas malaktiva. Nenio en la eventa protokolo nomas tion malsukceso, ĉar laŭ la vidpunkto de la kliento la reto estas fidinda kaj la tunelo estas nenecesa. Rekonado de fidinda reto estas la funkcio, kiu faras tiun decidon, kaj ĝi komparas konkretajn valorojn anstataŭ rekoni konatan SSID. Kiam la decido estas malĝusta, vi devas vidi, kiu komparo sukcesis.

Kion la ekigilo vere komparas

Tri aferoj devas kongrui antaŭ ol la kliento traktas reton kiel fidindan. Unue, la konekto-specifa DNS-sufikso, kiun Windows registras por la fizika adaptilo, devas aperi en la sufiksa listo de la profilo. Due, la konekta profilo, kiun Windows tenas por tiu reto, devas esti tiu, kiun la politiko atendas, ĉar la kongruo estas kontraŭ tiu profilo, ne kontraŭ nomo, kiun uzanto tajpis en sendrata dialogo. Trie, la reto devas esti klasifikita tiel, kiel la politiko postulas, kio praktike signifas domajnan aŭ privatan reton, aŭ aparaton, kies politiko venis per administrado. Forigu iun ajn el ili kaj la ekigilo ekfunkcias.

Tio estas pli mallarĝa testo ol kompari la publikan eliran adreson de la VPN, kaj multe pli mallarĝa ol fidi SSID-on. Alirpunkto, kiu eĥas la firmaan nomon, mem ne plenumas la sufikajn kaj profilajn komparojn. Ĝi ankaŭ signifas, ke la funkcio diras nenion pri tio, ĉu reto estas sekura; ĝi diras, ĉu ĉi tiu aparato kredas, ke ĝi jam estas hejme.

Legu la nunan staton antaŭ ol ŝanĝi la profilon

Komencu per tio, kion Windows nun opinias. La cmdlet de konekta profilo raportas la retan nomon, la interfacon kaj la kategorion, kiun Windows atribuis, kio estas la tria komparo supre. Poste legu la profilon de la VPN kaj serĉu la liston de fidindaj sufiksoj, uzante plenan elĵeton de atributoj anstataŭ diveni iliajn nomojn:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Se tiu elĵeto ne montras la fidindan sufikson en via versio, revenu al la XML de la profilo, kiu estas la aŭtoritata kopio, kiam la atributa surfaco diferencas inter versioj. Legu la XML el la administra politiko aŭ el la profilo-konservejo por ĉiuj uzantoj, kaj komparu ĝiajn sufiksaĵojn kun la adaptila sufikso raportita supre. Notu ambaŭ valorojn antaŭ ol tuŝi iun ajn el ili.

Testu la limon en ambaŭ direktoj

Testu ĉe la intencita firmaa aliĝo kaj ĉe unu alia aprobita reto, kaj notu, ĉu la tunelo leviĝis. Poste testu la saman aparaton post foriro. Tekkomputilo, kiu ekaktivigas hejme kaj subpremas en la oficejo, kondutas laŭ la dezajno, dum unu, kiu nenie ekaktivigas, havas alian difekton. Kontrolu, ĉu resursoj malantaŭ la tunelo estas atingeblaj kiam ĝi ekaktivigas, ĉar startita tunelo ne pruvas funkciantan vojon.

Ne aldonu larĝan sufikson nur por ke sciigo malaperu. Sufikso, kiu aperas en multaj retoj, instruas al la kliento subpremi la tunelon preskaŭ ĉie, kaj la subtena ŝarĝo, kiu sekvas, estas pli malbona ol la sciigo. Ŝanĝu la kriteriojn per la profilposedanto, kiu en administrata fleto estas la MDM-administranto, ne la persono ĉe la tekkomputilo.

Konservu ambaŭ testajn retojn en la registro kune kun la rezulto. Limo, kiu neniam estis testita, estas nur aserto.

Apartigu subpremadon de blokado

Tunelo, kiu ne startis, ne estas blokita konekto. Rekonado de fidinda reto regas la aŭtomatan ekaktivigon, dum trafika filtrado kaj kill-switch-konduto estas apartaj politikaj agordoj kun propraj fiaskomanieroj. Aparato en fidinda reto rajtas laŭleĝe sendi trafikon ekster la tunelon, kaj nomi tion liko sen legi la politikon konfuzas du dezajnojn. Kontrolu la trafikajn regulojn de la profilo antaŭ ol kulpigi la rekonadon pri liko.

La sama distingo klarigas la inversan plendon. Uzantoj, kiuj raportas, ke la VPN haltis hazarde, kutime priskribas retan ŝanĝon, kiu plenumis la kriteriojn, ne servan fiaskon. La kongrua sufikso kaj la reta kategorio estas la pruvoj kolektendaj, kaj ambaŭ aperas en la eligo supre.

Kolektu tiujn pruvojn antaŭ ol ŝanĝi politikon. Ŝaltilo, kiu kaŝas la simptomon, kaŝas ankaŭ la kaŭzon.

Notu, sur kio baziĝis la decido

Skribu la kongruan sufikson, la nomon de la konekta profilo kaj la retan kategorion en la deplojajn notojn por ĉiu loko. Kiam la tunelo ne leviĝas, tiu registro transformas misteron en komparon: aŭ unu el la tri valoroj ŝanĝiĝis, aŭ la politiko. Ĝi ankaŭ donas al la sekva inĝeniero manieron konfirmi la dezajnon anstataŭ malŝalti la rekonadon por fermi la bileton.

Reviziu la sufikso-liston kiam loko renomiĝas aŭ domajno konsolidiĝas, ĉar kaduka enskribo daŭre silente subpremas la tunelon. La referenco de Microsoft pri rekonado de fidinda reto listigas la profilajn elementojn kaj la deplojajn antaŭkondiĉojn, kaj ĝi estas la dokumento citenda, kiam iu proponas vastigi la liston.