Miks Always On VPN lakkab kontorivõrgus käivitumast

Sülearvuti liitub kontori Wi-Fi-võrku ja kodust ühenduse loonud Always On profiil jääb välja. Sündmustelogis ei nimetata seda tõrkeks, sest kliendi vaatepunktist on võrk usaldusväärne ja tunnel pole vajalik. Selle otsuse teeb usaldusväärse võrgu tuvastuse funktsioon ja see võrdleb konkreetseid väärtusi, mitte ei tunne ära tuttavat SSID-d. Kui otsus on vale, tuleb näha, milline võrdlus läbis.

Mida päästik tegelikult võrdleb

Kolm asja peavad kokku langema, enne kui klient peab võrku usaldusväärseks. Esiteks peab Windowsi poolt füüsilise adapteri jaoks kirja pandud ühendusepõhine DNS-sufiks olema profiili sufiksite nimekirjas. Teiseks peab Windowsi hoitav selle võrgu ühenduse profiil olema see, mida poliitika eeldab, sest võrdlus käib selle profiili, mitte traadita dialoogi trükitud nime vastu. Kolmandaks, võrk tuleb liigitada nii, nagu poliitika nõuab, mis tähendab praktikas domeeni- või privaatvõrku või seadet, mille poliitika saabus halduse kaudu. Eemaldage ükskõik milline neist ja päästik rakendub.

See on kitsam test kui VPN-i avaliku väljumisaadressi võrdlemine ja palju kitsam kui SSID-sse usalduse panemine. Juurdepääsupunkt, mis kordab ettevõtte nime, ei täida üksinda sufiksi ja profiili võrdlusi. See tähendab ka, et funktsioon ei ütle midagi selle kohta, kas võrk on turvaline; see ütleb, kas seade arvab, et on juba kodus.

Lugege praegust olekut enne profiili muutmist

Alustage sellest, mida Windows praegu arvab. Ühenduse profiili cmdlet teatab võrgu nime, liidese ja Windowsi määratud kategooria, mis on ülaltoodud kolmas võrdlus. Seejärel lugege VPN-i profiili ja otsige usaldusväärsete sufiksite nimekiri, kasutades täielikku atribuutide väljundit, mitte nende nimede oletamist:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Kui see väljund teie versioonis usaldusväärset sufiksit ei näita, pöörduge profiili XML-i poole, mis on autoriteetne koopia, kui atribuutide pind versiooniti erineb. Lugege XML-i halduspoliitikast või kõigi kasutajate profiilihoidlast ja võrrelge selle sufiksikirjeid ülal teatatud adapteri sufiksiga. Kirjutage mõlemad väärtused üles, enne kui kumbagi puudutate.

Testige piiri mõlemas suunas

Testige kavandatud ettevõtte ühenduskohas ja ühes teises heakskiidetud võrgus ning kirjutage üles, kas tunnel tõusis. Seejärel testige sama seadet pärast lahkumist. Sülearvuti, mis käivitub kodus ja surutakse kontoris maha, käitub nii nagu projekteeritud, samas kui see, mis ei käivitu kusagil, on hoopis teine viga. Kontrollige, kas tunnelitagused ressursid on käivitumise korral kättesaadavad, sest käivitatud tunnel ei ole tõestus töötavast teest.

Ärge lisage laia sufiksit ainult selleks, et teade kaoks. Sufiks, mis esineb paljudes võrkudes, õpetab kliendile tunnelit peaaegu kõikjal maha suruma, ja sellele järgnev tugikoormus on hullem kui teade. Muutke kriteeriume profiili omaniku kaudu, kes hallatud parklas on MDM-administraator, mitte sülearvuti taga istuv inimene.

Hoidke mõlemad testvõrgud kirjes koos tulemusega. Piir, mida kunagi ei testitud, on ainult väide.

Eraldage mahasurumine blokeerimisest

Tunnel, mida ei käivitatud, ei ole blokeeritud ühendus. Usaldusväärse võrgu tuvastus juhib automaatset käivitust, samas kui liikluse filtreerimine ja kill-switchi käitumine on eraldi poliitikaseaded oma rikkerežiimidega. Usaldusväärses võrgus olev seade võib seaduslikult saata liiklust väljapoole tunnelit, ja ilma poliitikat lugemata lekkeks nimetamine ajab kaks lahendust segamini. Kontrollige profiili liiklusreegleid, enne kui süüdistate tuvastust lekkes.

See sama eristus selgitab vastupidist kaebust. Kasutajad, kes teatavad, et VPN peatus juhuslikult, kirjeldavad tavaliselt võrgu muutust, mis vastas kriteeriumidele, mitte teenuse riket. Sobiv sufiks ja võrgu kategooria on tõendid, mida koguda, ja mõlemad ilmuvad ülaltoodud väljundis.

Koguge need tõendid enne poliitika muutmist. Lüliti, mis varjab sümptomit, varjab ka põhjuse.

Kirjutage üles, millele otsus tugines

Kirjutage sobiv sufiks, ühenduse profiili nimi ja võrgu kategooria iga asukoha juurutamismärkmetesse. Kui tunnel ei tõuse, muudab see kirje mõistatuse võrdluseks: kas muutus üks kolmest väärtusest või poliitika. See annab ka järgmisele insenerile võimaluse kinnitada lahendust, selle asemel et tuvastus välja lülitada ja pilet sulgeda.

Vaadake sufiksite nimekiri üle, kui asukoht nimetatakse ümber või domeen konsolideeritakse, sest aegunud kirje surub tunnelit edasi vaikselt maha. Microsofti usaldusväärse võrgu tuvastuse viide loetleb profiili elemendid ja juurutamise eeldused ning see on dokument, millele viidata, kui keegi pakub nimekirja laiendamist.