Por qué Always On VPN deja de activarse en la red de la oficina

El portátil se une al Wi-Fi de la oficina, y el perfil Always On que conectaba desde casa se queda abajo. Nada en el registro de eventos lo llama error, porque desde el punto de vista del cliente la red es de confianza y el túnel es innecesario. La detección de red de confianza es la función que toma esa decisión, y compara valores concretos en lugar de reconocer un SSID familiar. Cuando la decisión es errónea, hay que ver qué comparación se superó.

Qué compara realmente el disparador

Tres cosas tienen que coincidir antes de que el cliente trate una red como de confianza. Primero, el sufijo DNS específico de la conexión que Windows registra para el adaptador físico debe aparecer en la lista de sufijos del perfil. Segundo, el perfil de conexión que Windows mantiene para esa red debe ser el que la directiva espera, porque la coincidencia se hace contra ese perfil y no contra un nombre que un usuario escribiera en un diálogo inalámbrico. Tercero, la red debe clasificarse como exige la directiva, lo que en la práctica significa una red de dominio o privada, o un dispositivo cuya directiva llegó por gestión. Elimine cualquiera de ellas y el disparador se activa.

Es una prueba más estrecha que comparar la dirección de salida pública de la VPN, y mucho más estrecha que confiar en un SSID. Un punto de acceso que repita el nombre corporativo no satisface por sí solo las comparaciones de sufijo y de perfil. También significa que la función no dice nada sobre si una red es segura; dice si este dispositivo cree que ya está en casa.

Lea el estado actual antes de cambiar el perfil

Empiece por lo que Windows cree ahora. El cmdlet de perfil de conexión informa del nombre de la red, de la interfaz y de la categoría que Windows asignó, que es la tercera comparación anterior. Después lea el perfil de la VPN y busque la lista de sufijos de confianza, con un volcado completo de propiedades en lugar de adivinar sus nombres:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Si ese volcado no expone el sufijo de confianza en su compilación, recurra al XML del perfil, que es la copia autoritativa cuando la superficie de propiedades difiere entre versiones. Lea el XML de la directiva de administración o del almacén de perfiles de todos los usuarios, y compare sus entradas de sufijo con el sufijo del adaptador informado arriba. Anote ambos valores antes de tocar cualquiera de ellos.

Pruebe la frontera en ambos sentidos

Pruebe en la conexión corporativa prevista y en otra red aprobada, y anote si el túnel se levantó. Después pruebe el mismo dispositivo tras salir. Un portátil que se activa en casa y se suprime en la oficina se comporta según el diseño, mientras que uno que nunca se activa en ningún sitio tiene otro fallo. Compruebe que los recursos detrás del túnel sean accesibles cuando se activa, porque un túnel iniciado no es prueba de una ruta que funcione.

No añada un sufijo amplio solo para que desaparezca una notificación. Un sufijo que aparece en muchas redes enseña al cliente a suprimir el túnel casi en todas partes, y la carga de soporte que sigue es peor que la notificación. Cambie los criterios a través del propietario del perfil, que en una flota gestionada es el administrador de MDM y no la persona frente al portátil.

Guarde las dos redes de prueba en el registro junto al resultado. Una frontera que nunca se probó es solo una afirmación.

Separe la supresión del bloqueo

Un túnel que no se inició no es una conexión bloqueada. La detección de red de confianza controla la activación automática, mientras que el filtrado de tráfico y el comportamiento de kill-switch son ajustes de directiva separados con sus propios modos de fallo. Un dispositivo en una red de confianza puede enviar tráfico fuera del túnel de forma legítima, y llamarlo fuga sin leer la directiva confunde dos diseños. Revise las reglas de tráfico del perfil antes de culpar a la detección de una fuga.

La misma distinción explica la queja inversa. Los usuarios que informan de que la VPN se detuvo al azar suelen describir un cambio de red que cumplió los criterios, no un fallo del servicio. El sufijo coincidente y la categoría de red son la evidencia que hay que recopilar, y ambas aparecen en la salida anterior.

Recopile esa evidencia antes de cambiar la directiva. Un interruptor que oculta el síntoma también oculta la causa.

Anote en qué se basó la decisión

Escriba el sufijo coincidente, el nombre del perfil de conexión y la categoría de red en las notas de despliegue de cada sede. Cuando el túnel no se levanta, ese registro convierte un misterio en una comparación: o cambió uno de los tres valores, o cambió la directiva. También da al siguiente ingeniero una forma de confirmar el diseño en lugar de desactivar la detección para cerrar el ticket.

Revise la lista de sufijos cuando se renombre una sede o se consolide un dominio, porque una entrada obsoleta sigue suprimiendo el túnel en silencio. La referencia de Microsoft sobre la detección de red de confianza enumera los elementos del perfil y los requisitos previos de despliegue, y es el documento que hay que citar cuando alguien propone ampliar la lista.