Por qué los usuarios desactivan Always On y el perfil lo mantiene desactivado

Un usuario desmarca Conectar automáticamente y el perfil deja de conectarse. Meses después, el equipo de despliegue publica un perfil actualizado con el mismo nombre, espera que el desencadenador vuelva, y no vuelve. La razón es que la elección nunca estuvo solo en el perfil: Windows registró la decisión del usuario asociada a ese nombre de perfil en su propio estado, y una reinstalación no la borra. El archivo del perfil es solo la mitad de la configuración.

Qué escribe realmente la casilla

Desmarcar la opción de conexión automática es una decisión por dispositivo que se guarda fuera del XML del perfil. Microsoft la documenta como una lista de nombres de perfil cuyo desencadenador automático está deshabilitado, y por eso el ajuste sobrevive a que se quite y se vuelva a añadir el perfil.

Ese diseño tiene sentido desde el punto de vista del usuario. Quien tiene una conexión con límite de datos y desactiva la conexión automática no espera que la siguiente actualización de la política la vuelva a activar en silencio.

También significa que el nombre del perfil es una identidad, no una etiqueta. Dos perfiles con el mismo nombre son la misma entrada para esa lista, y cambiar el nombre crea una identidad nueva sin ninguna preferencia guardada.

Por qué reinstalar el perfil no lo restablece

Eliminar una conexión VPN y volver a añadirla desde un archivo actualizado elimina y recrea el objeto del perfil. No elimina el registro de la decisión del usuario, porque ese registro se indexa por el nombre y no por el identificador interno del perfil.

Así que la actualización llega, el perfil está presente y bien configurado, y el desencadenador sigue sin activarse. Nada en el perfil lo explica, y por eso esto se escala como un despliegue roto.

El mismo comportamiento puede usarse a propósito: mantén estable el nombre del perfil cuando la actualización deba conservar la misma conexión, y cámbialo solo cuando quieras un comienzo limpio. Renombrar para escapar de una preferencia guardada funciona, y además deja atrás la entrada antigua, de modo que el dispositivo acumula nombres que ya no corresponden a nada.

Decide cuál de las dos opciones quieres antes de tocar el XML, porque el nombre es el interruptor.

Un perfil activo, varios elegibles

Windows aplica los desencadenadores automáticos a un conjunto limitado de perfiles, y tener varios perfiles elegibles no hace que todos se conecten como valores predeterminados en competencia. Uno está activo y los demás esperan.

Eso importa cuando un dispositivo recibe tanto un perfil de ámbito de usuario como uno de ámbito de dispositivo con nombres parecidos. No son la misma conexión, y el que se conecta automáticamente es el que eligieron las reglas de selección, no necesariamente el que probaste. Una prueba que pasó en el otro perfil no demuestra nada sobre el desencadenador. Anota qué perfil respondió antes de cambiar nada.

Lee el estado guardado antes de una actualización

Antes de publicar cualquier cambio de perfil, mira qué tiene ahora el dispositivo: el objeto de conexión, su estado y la lista guardada de desencadenadores automáticos deshabilitados.

Estos comandos enumeran las conexiones VPN y buscan en el registro el valor documentado:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

Una entrada que coincida con el perfil que estás a punto de desplegar te dice que la elección del usuario ya está registrada. No es una falla que reparar en silencio; es el estado que tu política debe tener en cuenta.

Decide qué política quieres

Hay dos políticas defendibles y una mala costumbre. La primera respeta la exclusión del usuario hasta que el usuario la cambie, y documenta que el desencadenador es orientativo en dispositivos gestionados. La segunda trata la conexión automática como un requisito de cumplimiento, y entonces la exclusión no debería ofrecerse en absoluto.

La mala costumbre es reescribir estado no relacionado para forzar el desencadenador de nuevo, lo que funciona hasta la siguiente actualización y deja el dispositivo con ajustes que nadie puede explicar.

Anota la elección donde se mantiene el perfil, junto con las cuatro transiciones que vale la pena revisar: el primer aprovisionamiento, un desencadenador normal, un cambio permitido del usuario y una actualización al mismo nombre. La automatización, el alcance de enrutamiento y la aplicación del estado desconectado son controles separados, y la etiqueta Always On no es garantía de ninguno de ellos.