Wêrom Always On VPN ophâldt te aktivearjen op it kantoarnetwurk

De laptop docht mei oan ’e Wi-Fi fan it kantoar, en it Always On-profyl dat fan ’e hûs ferbûn wie, bliuwt del. Nimmen yn it barrenlog neamt dat in flater, want fan it eachpunt fan ’e klant is it netwurk fertroud en is de tunnel net nedich. Detekty fan fertroude netwurken is de funksje dy’t dat beslút nimt, en hy fergeliket spesifike wearden yn stee fan in fertroud SSID te erkennen. As it beslút ferkeard is, moatsto sjen hokker fergeliking slagge.

Wat de trigger eins fergeliket

Trije dingen moatte byinoar komme foardat de klant in netwurk as fertroud beskôget. Earst moat it ferbining-spesifike DNS-suffiks dat Windows foar de fysike adapter fêstleit, op ’e suffikslist yn it profyl stean. Twad moat it ferbiningsprofyl dat Windows foar dat netwurk hâldt, itselde wêze dat it belied ferwachtet, want de oerienkomst is tsjin dat profyl en net tsjin in namme dy’t in brûker yn in draadleas dialoochfinsters typt hat. Tred, moat it netwurk yndield wurde sa’t it belied easket, wat yn ’e praktyk in domein- as partikulier netwurk betsjut, of in apparaat waans belied troch behear kaam. Helje ien fan ’e trije fuort en de trigger aktivearret.

Dat is in smeller test as it fergelykjen fan it iepenbiere útgongsadres fan ’e VPN, en folle smeller as it fertrouwen op in SSID. In tagongspunt dat de bedriuwsnamme werhellt, foldocht allinne net oan ’e suffiks- en profylfergelykings. It betsjut ek dat de funksje neat seit oer de feilichheid fan in netwurk; hy seit oft dit apparaat tinkt dat it al thús is.

Lês de hjoeddeistige steat foardatsto it profyl feroarje

Begjin mei wat Windows no tinkt. It ferbiningsprofyl-cmdlet meldt de netwurknamme, de ynterface en de kategory dy’t Windows tawiisd hat, dat is de tredde fergeliking hjirboppe. Lês dan it VPN-profyl en sykje de list fan fertroude suffiksen, mei in folsleine eigenskippen-dump yn stee fan eigenskipsnammen te rieden:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

As dy dump it fertroude suffiks op dyn ferzje net sjen lit, gean werom nei de XML fan it profyl, dat de autoritative kopy is as it eigenskipsoerflak tusken ferzjes ferskeelt. Lês de XML út it behearbelied of út it profylopslach foar alle brûkers, en fergelykje syn suffiksynfieringen mei it adapter-suffiks dat hjirboppe melden is. Skriuw beide wearden op foardatsto ien fan beide oanreastest.

Test de grins yn beide rjochtingen

Test op ’e bedoelde bedriuwsferbining en op ien oar goedkard netwurk, en skriuw op oft de tunnel omheech kaam. Test dêrnei itselde apparaat nei’t it fuortgien is. In laptop dy’t thús aktivearret en op kantoar ûnderdrukt, docht sa’t er ûntwurpen is, wylst ien dy’t nearne aktivearret in oare flater hat. Kontrolearje oft boarnen efter de tunnel berikber binne as er aktivearret, want in starte tunnel is gjin bewiis fan in wurkjend paad.

Foegje gjin breed suffiks ta allinne om in melding ferdwine te litten. In suffiks dat op in soad netwurken foarkomt, leart de klant de tunnel hast oeral te ûnderdrukken, en de stipebelesting dy’t dêrop folget is slimmer as de melding. Feroarje de kritearia fia de profyleigner, dy’t yn in beheard fleat de MDM-behearder is en net de persoan efter de laptop.

Hâld beide testnetwurken yn it ferslach njonken it resultaat. In grins dy’t nea test is, is allinne in bewearing.

Skied ûnderdrukking fan blokkearring

In tunnel dy’t net start is, is gjin blokkearre ferbining. Detekty fan fertroude netwurken regelet de automatyske trigger, wylst ferkearsfiltering en kill-switch-gedrach aparte beliedsstellings binne mei har eigen flatermodi. In apparaat op in fertroud netwurk mei legitiem ferkear bûten de tunnel stjoere, en dat in lek neame sûnder it belied te lêzen, betiizget twa ûntwerpen. Kontrolearje de ferkearsregels fan it profyl foardatsto detekty de skuld jowest fan in lek.

Deselde skieding ferklearret de omkearde klacht. Brûkers dy’t melde dat de VPN samar stoppe, beskriuwe meastentiids in netwurkferoaring dy’t oan ’e kritearia foldie, gjin tsjinstflater. It oerienkommende suffiks en de netwurkategory binne it bewiis dat sammele wurde moat, en beide ferskine yn ’e útfier hjirboppe.

Samje dat bewiis foardatsto it belied feroarje. In skeakel dy’t it symptoom ferberget, ferberget ek de oarsaak.

Skriuw op wêrop it beslút basearre wie

Skriuw it oerienkommende suffiks, de namme fan it ferbiningsprofyl en de netwurkategory yn ’e ynfiersnotysjes foar elk plak. As de tunnel net omheech komt, feroaret dat ferslach in mystearje yn in fergeliking: of ien fan ’e trije wearden feroare, of it belied. It jout de folgjende yngenieur ek in manier om it ûntwerp te befêstigjen yn stee fan detekty út te skeakeljen om it ticket te sluten.

Besjoch de suffikslist as in plak omneamd of in domein konsolidearre wurdt, want in ferâldere ynfiering ûnderdrukt de tunnel stil fierder. Microsoft syn referinsje foar detekty fan fertroude netwurken listet de profyleleminten en de betingsten foar ynfiering op, en it is it dokumint dat oanhelle wurde moat as immen foarstelt de list te ferbreedzjen.