מדוע Always On VPN מפסיק להתפעל ברשת המשרד

המחשב הנייד מצטרף ל-Wi-Fi של המשרד, ופרופיל ה-Always On שהתחבר מהבית נשאר כבוי. שום דבר ביומן האירועים לא מכנה זאת כשל, משום שמנקודת המבט של הלקוח הרשת מהימנה והמנהרה מיותרת. זיהוי רשת מהימנה הוא התכונה שמקבלת את ההחלטה הזו, והיא משווה ערכים מסוימים במקום לזהות SSID מוכר. כשההחלטה שגויה, עליך לראות איזו השוואה עברה.

מה הטריגר באמת משווה

שלושה דברים חייבים להתיישר לפני שהלקוח מתייחס לרשת כמהימנה. ראשית, סיומת ה-DNS הספציפית לחיבור ש-Windows רושם עבור המתאם הפיזי חייבת להופיע ברשימת הסיומות בפרופיל. שנית, פרופיל החיבור ש-Windows מחזיק עבור אותה רשת חייב להיות זה שהמדיניות מצפה לו, משום שההתאמה נעשית מול אותו פרופיל ולא מול שם שהמשתמש הקליד בתיבת דו-שיח אלחוטית. שלישית, הרשת חייבת להיות מסווגת כפי שהמדיניות דורשת, כלומר בפועל רשת תחום או רשת פרטית, או מכשיר שהמדיניות שלו הגיעה דרך ניהול. הסר אחד מהם והטריגר יופעל.

זהו מבחן צר יותר מהשוואת כתובת היציאה הציבורית של ה-VPN, וצר בהרבה מאמון ב-SSID. נקודת גישה שמהדהדת את שם התאגיד אינה עומדת בפני עצמה בהשוואות הסיומת והפרופיל. פירושו גם שהתכונה אינה אומרת דבר על בטיחות הרשת; היא אומרת אם המכשיר הזה סבור שהוא כבר בבית.

קרא את המצב הנוכחי לפני שינוי הפרופיל

התחל במה ש-Windows סבור כעת. ה-cmdlet של פרופיל החיבור מדווח על שם הרשת, על הממשק ועל הקטגוריה ש-Windows הקצה, וזו ההשוואה השלישית שלמעלה. לאחר מכן קרא את פרופיל ה-VPN וחפש את רשימת הסיומות המהימנות, תוך שימוש בהדפסה מלאה של מאפיינים במקום ניחוש שמותיהם:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

אם ההדפסה הזו אינה חושפת את הסיומת המהימנה בגרסה שלך, חזור ל-XML של הפרופיל, שהוא העותק הסמכותי כאשר משטח המאפיינים שונה בין גרסאות. קרא את ה-XML ממדיניות הניהול או ממאגר הפרופילים של כל המשתמשים, והשווה את רשומות הסיומת שלו לסיומת המתאם שדווחה למעלה. רשום את שני הערכים לפני שתיגע באחד מהם.

בדוק את הגבול בשני הכיוונים

בדוק בהצטרפות התאגידית המיועדת וברשת מאושרת נוספת, ורשום אם המנהרה עלתה. לאחר מכן בדוק את אותו מכשיר לאחר היציאה. מחשב נייד שמופעל בבית ומדוכא במשרד מתנהג כמתוכנן, ואילו מחשב שלעולם אינו מופעל בשום מקום סובל מתקלה אחרת. בדוק שהמשאבים שמאחורי המנהרה נגישים כאשר היא מופעלת, משום שמנהרה שהופעלה אינה הוכחה לנתיב עובד.

אל תוסיף סיומת רחבה רק כדי שהתראה תיעלם. סיומת שמופיעה ברשתות רבות מלמדת את הלקוח לדכא את המנהרה כמעט בכל מקום, ועומס התמיכה שבא לאחר מכן גרוע מההתראה. שנה את הקריטריונים דרך בעל הפרופיל, שבצי מנוהל הוא מנהל ה-MDM ולא האדם שליד המחשב.

שמור את שתי רשתות הבדיקה בתיעוד לצד התוצאה. גבול שמעולם לא נבדק הוא רק טענה.

הפרד דיכוי מחסימה

מנהרה שלא הופעלה אינה חיבור חסום. זיהוי רשת מהימנה שולט בהפעלה האוטומטית, ואילו סינון תעבורה והתנהגות kill-switch הם הגדרות מדיניות נפרדות עם מצבי כשל משלהם. מכשיר ברשת מהימנה רשאי לשלוח תעבורה מחוץ למנהרה כדין, וכינוי זה דליפה בלי לקרוא את המדיניות מערבב שתי תפיסות. בדוק את כללי התעבורה של הפרופיל לפני שתייחס לזיהוי דליפה.

אותה הבחנה מסבירה את התלונה ההפוכה. משתמשים שמדווחים שה-VPN נעצר באקראי מתארים בדרך כלל שינוי רשת שסיפק את הקריטריונים, ולא כשל שירות. הסיומת המתאימה וקטגוריית הרשת הן הראיות שיש לאסוף, ושתיהן מופיעות בפלט שלמעלה.

אסוף את הראיות האלה לפני שינוי המדיניות. מתג שמסתיר את התסמין מסתיר גם את הסיבה.

רשום על מה התבססה ההחלטה

כתוב את הסיומת המתאימה, את שם פרופיל החיבור ואת קטגוריית הרשת בהערות הפריסה של כל אתר. כאשר המנהרה אינה עולה, התיעוד הזה הופך תעלומה להשוואה: או שאחד משלושת הערכים השתנה, או שהמדיניות השתנתה. הוא גם נותן למהנדס הבא דרך לאשר את התכנון במקום להשבית את הזיהוי כדי לסגור את הפנייה.

עיין ברשימת הסיומות כאשר אתר משנה שם או תחום מתאחד, משום שרשומה מיושנת ממשיכה לדכא את המנהרה בשקט. המסמך של Microsoft על זיהוי רשת מהימנה מפרט את רכיבי הפרופיל ואת דרישות הקדם לפריסה, וזה המסמך שיש לצטט כאשר מישהו מציע להרחיב את הרשימה.