Por que Always On VPN deixa de activarse na rede da oficina

O portátil únese ao Wi-Fi da oficina, e o perfil Always On que conectaba desde a casa queda baixo. Nada no rexistro de eventos o chama erro, porque desde o punto de vista do cliente a rede é de confianza e o túnel é innecesario. A detección de rede de confianza é a función que toma esa decisión, e compara valores concretos en lugar de recoñecer un SSID familiar. Cando a decisión é errónea, hai que ver que comparación se superou.

Que compara realmente o disparador

Tres cousas teñen que coincidir antes de que o cliente trate unha rede como de confianza. Primeiro, o sufixo DNS específico da conexión que Windows rexistra para o adaptador físico debe aparecer na lista de sufixos do perfil. Segundo, o perfil de conexión que Windows mantén para esa rede debe ser o que a política espera, porque a coincidencia faise contra ese perfil e non contra un nome que un usuario escribise nun diálogo sen fíos. Terceiro, a rede debe clasificarse como esixe a política, o que na práctica significa unha rede de dominio ou privada, ou un dispositivo cuxa política chegou por xestión. Elimine calquera delas e o disparador actívase.

É unha proba máis estreita que comparar o enderezo de saída público da VPN, e moito máis estreita que confiar nun SSID. Un punto de acceso que repita o nome corporativo non satisface por si só as comparacións de sufixo e de perfil. Tamén significa que a función non di nada sobre se unha rede é segura; di se este dispositivo cre que xa está na casa.

Lea o estado actual antes de cambiar o perfil

Comece polo que Windows cre agora. O cmdlet de perfil de conexión informa do nome da rede, da interface e da categoría que Windows asignou, que é a terceira comparación anterior. Despois lea o perfil da VPN e busque a lista de sufixos de confianza, cun volcado completo de propiedades en lugar de adiviñar os seus nomes:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Se ese volcado non expón o sufixo de confianza na súa compilación, recorra ao XML do perfil, que é a copia autoritativa cando a superficie de propiedades difire entre versións. Lea o XML da política de xestión ou do almacén de perfís de todos os usuarios, e compare as súas entradas de sufixo co sufixo do adaptador informado arriba. Anote ambos os valores antes de tocar calquera deles.

Probe a fronteira en ambos os sentidos

Probe na conexión corporativa prevista e noutra rede aprobada, e anote se o túnel se levantou. Despois probe o mesmo dispositivo tras saír. Un portátil que se activa na casa e se suprime na oficina compórtase segundo o deseño, mentres que un que nunca se activa en ningún sitio ten outro fallo. Comprobe que os recursos detrás do túnel sexan accesibles cando se activa, porque un túnel iniciado non é proba dunha ruta que funcione.

Non engada un sufixo amplo só para que desapareza unha notificación. Un sufixo que aparece en moitas redes ensina ao cliente a suprimir o túnel case en todas partes, e a carga de soporte que segue é peor que a notificación. Cambie os criterios a través do propietario do perfil, que nunha frota xestionada é o administrador de MDM e non a persoa diante do portátil.

Garde as dúas redes de proba no rexistro xunto ao resultado. Unha fronteira que nunca se probou só é unha afirmación.

Separe a supresión do bloqueo

Un túnel que non se iniciou non é unha conexión bloqueada. A detección de rede de confianza controla a activación automática, mentres que o filtrado de tráfico e o comportamento de kill-switch son axustes de política separados cos seus propios modos de fallo. Un dispositivo nunha rede de confianza pode enviar tráfico fóra do túnel de forma lexítima, e chamarlle fuga sen ler a política confunde dous deseños. Revise as regras de tráfico do perfil antes de culpar a detección dunha fuga.

A mesma distinción explica a queixa inversa. Os usuarios que informan de que a VPN se detivo ao azar adoitan describir un cambio de rede que cumpriu os criterios, non un fallo do servizo. O sufixo coincidente e a categoría de rede son a evidencia que hai que recoller, e ambas aparecen na saída anterior.

Recolla esa evidencia antes de cambiar a política. Un interruptor que oculta o síntoma tamén oculta a causa.

Anote en que se baseou a decisión

Escriba o sufixo coincidente, o nome do perfil de conexión e a categoría de rede nas notas de despregamento de cada sede. Cando o túnel non se levanta, ese rexistro converte un misterio nunha comparación: ou cambiou un dos tres valores, ou cambiou a política. Tamén lle dá ao seguinte enxeñeiro unha forma de confirmar o deseño en lugar de desactivar a detección para pechar o ticket.

Revise a lista de sufixos cando se renomea unha sede ou se consolida un dominio, porque unha entrada obsoleta segue suprimindo o túnel en silencio. A referencia de Microsoft sobre a detección de rede de confianza enumera os elementos do perfil e os requisitos previos de despregamento, e é o documento que hai que citar cando alguén propón ampliar a lista.