چرا Always On VPN روی شبکه دفتر از فعال‌سازی بازمی‌ماند

لپ‌تاپ به Wi-Fi دفتر می‌پیوندد و نمایه Always On که از خانه متصل شده بود پایین می‌ماند. هیچ‌چیز در گزارش رویداد آن را خطا نمی‌نامد، چون از دید کلاینت شبکه مطمئن است و تونل لازم نیست. قابلیتی که این تصمیم را می‌گیرد تشخیص شبکه مطمئن است و مقادیر مشخص را مقایسه می‌کند، نه اینکه یک SSID آشنا را بشناسد. وقتی تصمیم اشتباه است، باید ببینید کدام مقایسه عبور کرده است.

محرک در واقع چه چیزی را مقایسه می‌کند

سه چیز باید هم‌خوان باشند تا کلاینت شبکه‌ای را مطمئن بداند. نخست، پسوند DNS ویژه اتصال که Windows برای آداپتور فیزیکی ثبت می‌کند باید در فهرست پسوندهای نمایه بیاید. دوم، نمایه اتصالی که Windows برای آن شبکه نگه می‌دارد باید همان باشد که سیاست انتظار دارد، زیرا تطبیق با آن نمایه انجام می‌شود و نه با نامی که کاربر در یک پنجره بی‌سیم تایپ کرده است. سوم، شبکه باید همان‌گونه دسته‌بندی شود که سیاست می‌خواهد، که در عمل یعنی شبکه دامنه یا خصوصی، یا دستگاهی که سیاستش از راه مدیریت رسیده است. هر یک را حذف کنید و محرک فعال می‌شود.

این آزمون باریک‌تر از مقایسه نشانی خروج عمومی VPN است و بسیار باریک‌تر از اعتماد به یک SSID. نقطه دسترسی‌ای که نام شرکت را بازتاب می‌دهد به‌تنهایی مقایسه‌های پسوند و نمایه را برآورده نمی‌کند. همچنین یعنی این قابلیت هیچ چیزی درباره امن بودن شبکه نمی‌گوید؛ می‌گوید آیا این دستگاه باور دارد که از پیش در خانه است.

پیش از تغییر نمایه، وضعیت کنونی را بخوانید

با آنچه Windows اکنون باور دارد آغاز کنید. cmdlet نمایه اتصال نام شبکه، واسط و دسته‌ای را که Windows اختصاص داده گزارش می‌کند، که همان مقایسه سوم بالاست. سپس نمایه VPN را بخوانید و فهرست پسوندهای مطمئن را بجویید، با یک تخلیه کامل ویژگی‌ها به‌جای حدس زدن نام ویژگی‌ها:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

اگر آن تخلیه در ساخت شما پسوند مطمئن را آشکار نمی‌کند، به XML نمایه بازگردید، که وقتی سطح ویژگی‌ها میان نسخه‌ها متفاوت است نسخه معتبر است. XML را از سیاست مدیریت یا از مخزن نمایه همه کاربران بخوانید و مدخل‌های پسوند آن را با پسوند آداپتور که بالا گزارش شد مقایسه کنید. پیش از دست زدن به هر یک، هر دو مقدار را ثبت کنید.

مرز را در هر دو جهت بیازمایید

روی اتصال شرکتی موردنظر و یک شبکه تأییدشده دیگر بیازمایید و بنویسید آیا تونل بالا آمد. سپس همان دستگاه را پس از ترک شبکه بیازمایید. لپ‌تاپی که در خانه فعال می‌شود و در دفتر سرکوب می‌شود همان‌گونه که طراحی شده رفتار می‌کند، در حالی که لپ‌تاپی که هیچ‌جا فعال نمی‌شود نقص دیگری دارد. بررسی کنید که منابع پشت تونل در حالت فعال‌شدن در دسترس باشند، زیرا تونل آغازشده اثبات مسیری کارآمد نیست.

فقط برای اینکه یک اعلان ناپدید شود پسوند گسترده اضافه نکنید. پسوندی که در شبکه‌های زیادی دیده می‌شود به کلاینت می‌آموزد تونل را تقریباً همه‌جا سرکوب کند، و بار پشتیبانی که در پی می‌آید از اعلان بدتر است. معیارها را از راه مالک نمایه تغییر دهید، که در ناوگان مدیریت‌شده مدیر MDM است نه کسی که پشت لپ‌تاپ نشسته است.

هر دو شبکه آزمایشی را همراه با نتیجه در سابقه نگه دارید. مرزی که هرگز آزموده نشده فقط یک ادعاست.

سرکوب را از مسدودسازی جدا کنید

تونلی که آغاز نشده اتصال مسدود نیست. تشخیص شبکه مطمئن فعال‌سازی خودکار را کنترل می‌کند، در حالی که پالایش ترافیک و رفتار kill-switch تنظیمات سیاست جداگانه‌ای با شیوه‌های خطای خودشان هستند. دستگاه در شبکه مطمئن می‌تواند به‌طور مشروع ترافیک را بیرون تونل بفرستد، و نامیدن آن به نشتی بدون خواندن سیاست دو طراحی را درهم می‌آمیزد. پیش از متهم کردن تشخیص به نشتی، قواعد ترافیک نمایه را بررسی کنید.

همین تمایز شکایت معکوس را توضیح می‌دهد. کاربرانی که گزارش می‌دهند VPN به‌طور تصادفی متوقف شده معمولاً تغییر شبکه‌ای را توصیف می‌کنند که معیارها را برآورده کرده، نه خرابی سرویس را. پسوند منطبق و دسته شبکه همان شواهدی هستند که باید گردآوری شوند و هر دو در خروجی بالا دیده می‌شوند.

آن شواهد را پیش از تغییر سیاست گردآوری کنید. کلیدی که نشانه را پنهان می‌کند علت را هم پنهان می‌کند.

ثبت کنید تصمیم بر چه چیزی استوار بود

پسوند منطبق، نام نمایه اتصال و دسته شبکه را در یادداشت‌های استقرار هر سایت بنویسید. وقتی تونل بالا نمی‌آید، آن سابقه معما را به مقایسه تبدیل می‌کند: یا یکی از سه مقدار تغییر کرده، یا سیاست. همچنین به مهندس بعدی راهی می‌دهد تا طراحی را تأیید کند به‌جای اینکه برای بستن تیکت تشخیص را خاموش کند.

وقتی سایتی تغییر نام می‌دهد یا دامنه‌ای ادغام می‌شود فهرست پسوندها را بازبینی کنید، زیرا مدخل کهنه بی‌صدا تونل را سرکوب می‌کند. مرجع Microsoft درباره تشخیص شبکه مطمئن عناصر نمایه و پیش‌نیازهای استقرار را فهرست می‌کند و همان سندی است که وقتی کسی گسترش فهرست را پیشنهاد می‌کند باید نقل شود.