Por que os usuarios desactivan Always On e o perfil mantéño desactivado

Un usuario desmarca Conectar automaticamente e o perfil deixa de conectarse. Meses despois o equipo de despregamento publica un perfil actualizado co mesmo nome, espera que o disparador volva, e non volve. A razón é que a escolla nunca estivo só no perfil: Windows rexistrou a decisión do usuario asociada a ese nome de perfil no seu propio estado, e unha reinstalación non a borra. O ficheiro do perfil só é a metade da configuración.

Que escribe realmente a caixa

Desmarcar a opción de conexión automática é unha decisión por dispositivo que se garda fóra do XML do perfil. Microsoft documéntaa como unha lista de nomes de perfil cuxo disparador automático está desactivado, e por iso o axuste sobrevive a que se quite e se volva engadir o perfil.

Ese deseño ten sentido desde o punto de vista do usuario. Quen ten unha conexión con límite de datos e desactiva a conexión automática non espera que a seguinte actualización da política a volva activar en silencio.

Tamén significa que o nome do perfil é unha identidade, non unha etiqueta. Dous perfís co mesmo nome son a mesma entrada para esa lista, e cambiar o nome crea unha identidade nova sen ningunha preferencia gardada.

Por que reinstalar o perfil non o restablece

Eliminar unha conexión VPN e volver engadila desde un ficheiro actualizado elimina e recrea o obxecto do perfil. Non elimina o rexistro da decisión do usuario, porque ese rexistro indexase polo nome e non polo identificador interno do perfil.

Así que a actualización chega, o perfil está presente e ben configurado, e o disparador segue sen activarse. Nada no perfil o explica, e por iso isto escálase como un despregamento roto.

O mesmo comportamento pódese usar a propósito: mantén estable o nome do perfil cando a actualización deba conservar a mesma conexión, e cámbiao só cando queiras un comezo limpo. Renomear para escapar dunha preferencia gardada funciona, e ademais deixa atrás a entrada antiga, de xeito que o dispositivo acumula nomes que xa non corresponden a nada.

Decide cal das dúas opcións queres antes de tocar o XML, porque o nome é o interruptor.

Un perfil activo, varios elixibles

Windows aplica os disparadores automáticos a un conxunto limitado de perfís, e ter varios perfís elixibles non fai que todos se conecten como valores predeterminados en competencia. Un está activo e os demais esperan.

Iso importa cando un dispositivo recibe tanto un perfil de ámbito de usuario como un de ámbito de dispositivo con nomes parecidos. Non son a mesma conexión, e o que se conecta automaticamente é o que elixiron as regras de selección, non necesariamente o que probaches. Unha proba que pasou no outro perfil non demostra nada sobre o disparador. Anota que perfil respondeu antes de cambiar nada.

Le o estado gardado antes dunha actualización

Antes de publicar calquera cambio de perfil, mira que ten agora o dispositivo: o obxecto de conexión, o seu estado e a lista gardada de disparadores automáticos desactivados.

Estes comandos enumeran as conexións VPN e buscan no rexistro o valor documentado:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

Unha entrada que coincida co perfil que estás a piques de despregar dinos que a escolla do usuario xa está rexistrada. Non é un fallo para reparar en silencio; é o estado que a túa política debe ter en conta.

Decide que política queres

Hai dúas políticas defendibles e un mal costume. A primeira respecta a renuncia do usuario ata que o usuario a cambie, e documenta que o disparador é orientativo en dispositivos xestionados. A segunda trata a conexión automática como un requisito de cumprimento, e entón a renuncia non debería ofrecerse en absoluto.

O mal costume é reescribir estado non relacionado para forzar o disparador de novo, o que funciona ata a seguinte actualización e deixa o dispositivo con axustes que ninguén pode explicar.

Anota a escolla onde se mantén o perfil, xunto coas catro transicións que paga a pena revisar: o primeiro aprovisionamento, un disparador normal, un cambio permitido do usuario e unha actualización ao mesmo nome. A automatización, o alcance de encamiñamento e a aplicación do estado desconectado son controis separados, e a etiqueta Always On non é garantía de ningún deles.