Zašto Always On VPN prestaje da se aktivira na kancelarijskoj mreži

Prenosnik se pridružuje kancelarijskom Wi-Fi-ju, a Always On profil koji se povezao od kuće ostaje isključen. Ništa u dnevniku događaja to ne naziva greškom, jer je s klijentove tačke gledišta mreža pouzdana i tunel nije potreban. Prepoznavanje pouzdane mreže je funkcija koja donosi tu odluku i ona upoređuje konkretne vrijednosti umjesto da prepoznaje poznati SSID. Kada je odluka pogrešna, treba vidjeti koje je poređenje prošlo.

Šta okidač zapravo upoređuje

Tri stvari moraju se poklopiti prije nego što klijent mrežu smatra pouzdanom. Prvo, DNS sufiks specifičan za vezu koji Windows bilježi za fizički adapter mora se pojaviti na listi sufiksa u profilu. Drugo, profil veze koji Windows drži za tu mrežu mora biti onaj koji politika očekuje, jer se poklapanje vrši s tim profilom, a ne s imenom koje je korisnik otkucao u bežičnom dijalogu. Treće, mreža mora biti klasifikovana onako kako politika zahtijeva, što u praksi znači domensku ili privatnu mrežu, ili uređaj čija je politika stigla kroz upravljanje. Uklonite bilo koju od njih i okidač se aktivira.

To je uži test od upoređivanja javne izlazne adrese VPN-a i mnogo uži od povjerenja u SSID. Pristupna tačka koja ponavlja korporativno ime sama po sebi ne zadovoljava poređenja sufiksa i profila. To takođe znači da funkcija ne govori ništa o tome je li mreža sigurna; ona govori vjeruje li ovaj uređaj da je već kod kuće.

Pročitajte trenutno stanje prije nego što promijenite profil

Počnite od onoga što Windows trenutno smatra. Cmdlet profila veze prijavljuje ime mreže, interfejs i kategoriju koju je Windows dodijelio, a to je treće poređenje gore. Zatim pročitajte VPN profil i potražite listu pouzdanih sufiksa, koristeći potpuni ispis svojstava umjesto pogađanja njihovih imena:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Ako taj ispis ne prikazuje pouzdani sufiks u vašoj verziji, vratite se na XML profila, koji je mjerodavna kopija kada se skup svojstava razlikuje između verzija. Pročitajte XML iz politike upravljanja ili iz spremišta profila za sve korisnike i uporedite njegove unose sufiksa sa sufiksom adaptera prijavljenim gore. Zapišite obje vrijednosti prije nego što dirnete bilo koju.

Testirajte granicu u oba smjera

Testirajte na predviđenom korporativnom priključku i na jednoj drugoj odobrenoj mreži i zapišite je li se tunel podigao. Zatim testirajte isti uređaj nakon napuštanja mreže. Prenosnik koji se aktivira kod kuće i potiskuje u kancelariji ponaša se kako je projektovan, dok onaj koji se nigdje ne aktivira ima drugu grešku. Provjerite jesu li resursi iza tunela dostupni kada se aktivira, jer podignut tunel nije dokaz radne putanje.

Ne dodajte široki sufiks samo da bi obavještenje nestalo. Sufiks koji se pojavljuje na mnogim mrežama uči klijenta da potiskuje tunel gotovo svuda, a opterećenje podrške koje slijedi gore je od obavještenja. Mijenjajte kriterije kroz vlasnika profila, koji je u upravljanom parku MDM administrator, a ne osoba za prenosnikom.

Držite obje testne mreže u zapisu uz rezultat. Granica koja nikada nije testirana samo je tvrdnja.

Razdvojite potiskivanje od blokiranja

Tunel koji nije pokrenut nije blokirana veza. Prepoznavanje pouzdane mreže upravlja automatskim okidačem, dok su filtriranje saobraćaja i ponašanje kill-switcha odvojena podešavanja politike sa svojim načinima otkaza. Uređaj na pouzdanoj mreži može legitimno slati saobraćaj izvan tunela, a nazvati to curenjem bez čitanja politike miješa dva dizajna. Provjerite prometna pravila profila prije nego što za curenje okrivite prepoznavanje.

Ista razlika objašnjava obrnutu žalbu. Korisnici koji prijavljuju da se VPN nasumično zaustavio obično opisuju promjenu mreže koja je zadovoljila kriterije, a ne kvar usluge. Poklopljeni sufiks i kategorija mreže su dokazi koje treba prikupiti i oba se pojavljuju u izlazu gore.

Prikupite te dokaze prije nego što promijenite politiku. Prekidač koji skriva simptom skriva i uzrok.

Zapišite na čemu se odluka zasnivala

Upišite poklopljeni sufiks, ime profila veze i kategoriju mreže u bilješke o uvođenju za svaku lokaciju. Kada se tunel ne podigne, taj zapis pretvara misteriju u poređenje: ili se promijenila jedna od tri vrijednosti, ili politika. On takođe daje sljedećem inženjeru način da potvrdi dizajn umjesto da isključi prepoznavanje kako bi zatvorio tiket.

Pregledajte listu sufiksa kada se lokacija preimenuje ili domen konsoliduje, jer zastario unos nastavlja tiho potiskivati tunel. Microsoftova referenca za prepoznavanje pouzdane mreže navodi elemente profila i preduslove za uvođenje, a to je dokument koji treba citirati kada neko predloži proširenje liste.