Mengapa Always On VPN Berhenti Terpicu di Jaringan Kantor

Laptop bergabung ke Wi-Fi kantor, dan profil Always On yang terhubung dari rumah tetap mati. Tidak ada apa pun di log peristiwa yang menyebutnya kegagalan, karena dari sudut pandang klien jaringannya tepercaya dan terowongan tidak diperlukan. Deteksi jaringan tepercaya adalah fitur yang membuat keputusan itu, dan fitur ini membandingkan nilai tertentu alih-alih mengenali SSID yang familiar. Ketika keputusannya salah, Anda perlu melihat perbandingan mana yang lolos.

Apa yang sebenarnya dibandingkan pemicu

Tiga hal harus sejalan sebelum klien menganggap suatu jaringan tepercaya. Pertama, sufiks DNS khusus koneksi yang dicatat Windows untuk adaptor fisik harus muncul di daftar sufiks pada profil. Kedua, profil koneksi yang disimpan Windows untuk jaringan itu harus yang diharapkan kebijakan, karena pencocokan dilakukan terhadap profil itu, bukan terhadap nama yang diketik pengguna di dialog nirkabel. Ketiga, jaringan harus diklasifikasikan seperti yang diminta kebijakan, yang dalam praktik berarti jaringan domain atau privat, atau perangkat yang kebijakannya datang melalui manajemen. Hilangkan salah satunya dan pemicu akan aktif.

Ini uji yang lebih sempit daripada membandingkan alamat keluar publik VPN, dan jauh lebih sempit daripada memercayai SSID. Titik akses yang menggemakan nama korporat tidak dengan sendirinya memenuhi perbandingan sufiks dan profil. Ini juga berarti fitur tersebut tidak mengatakan apa pun tentang keamanan jaringan; ia mengatakan apakah perangkat ini yakin sudah berada di rumah.

Baca status saat ini sebelum mengubah profil

Mulailah dari apa yang Windows yakini saat ini. Cmdlet profil koneksi melaporkan nama jaringan, antarmuka, dan kategori yang ditetapkan Windows, yaitu perbandingan ketiga di atas. Lalu baca profil VPN dan cari daftar sufiks tepercaya, dengan dump properti lengkap alih-alih menebak nama propertinya:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Jika dump itu tidak menampilkan sufiks tepercaya pada build Anda, kembalilah ke XML profil, yang merupakan salinan otoritatif ketika permukaan properti berbeda antarversi. Baca XML dari kebijakan manajemen atau dari penyimpanan profil semua pengguna, dan bandingkan entri sufiksnya dengan sufiks adaptor yang dilaporkan di atas. Catat kedua nilai sebelum menyentuh salah satunya.

Uji batasnya di kedua arah

Uji pada sambungan korporat yang dimaksud dan pada satu jaringan lain yang disetujui, dan catat apakah terowongan naik. Lalu uji perangkat yang sama setelah meninggalkannya. Laptop yang terpicu di rumah dan tertekan di kantor berperilaku sesuai rancangan, sedangkan yang tidak pernah terpicu di mana pun memiliki kesalahan lain. Periksa apakah sumber daya di balik terowongan dapat dijangkau saat terpicu, karena terowongan yang dimulai bukan bukti jalur yang berfungsi.

Jangan menambahkan sufiks lebar hanya agar notifikasi hilang. Sufiks yang muncul di banyak jaringan mengajari klien menekan terowongan hampir di mana-mana, dan beban dukungan yang menyusul lebih buruk daripada notifikasinya. Ubah kriteria melalui pemilik profil, yang pada armada terkelola adalah administrator MDM, bukan orang di depan laptop.

Simpan kedua jaringan uji dalam catatan bersama hasilnya. Batas yang tidak pernah diuji hanyalah klaim.

Pisahkan penekanan dari pemblokiran

Terowongan yang tidak dimulai bukan koneksi yang diblokir. Deteksi jaringan tepercaya mengendalikan pemicuan otomatis, sedangkan penyaringan lalu lintas dan perilaku kill-switch adalah pengaturan kebijakan terpisah dengan mode kegagalannya sendiri. Perangkat pada jaringan tepercaya boleh mengirim lalu lintas di luar terowongan secara sah, dan menyebutnya kebocoran tanpa membaca kebijakan mencampur dua rancangan. Periksa aturan lalu lintas profil sebelum menyalahkan deteksi atas kebocoran.

Pembedaan yang sama menjelaskan keluhan sebaliknya. Pengguna yang melaporkan VPN berhenti secara acak biasanya menggambarkan perubahan jaringan yang memenuhi kriteria, bukan kegagalan layanan. Sufiks yang cocok dan kategori jaringan adalah bukti yang harus dikumpulkan, dan keduanya muncul di keluaran di atas.

Kumpulkan bukti itu sebelum mengubah kebijakan. Tombol yang menyembunyikan gejala juga menyembunyikan penyebabnya.

Catat atas dasar apa keputusan dibuat

Tulis sufiks yang cocok, nama profil koneksi, dan kategori jaringan ke dalam catatan penyebaran untuk setiap situs. Ketika terowongan tidak naik, catatan itu mengubah misteri menjadi perbandingan: entah salah satu dari tiga nilai berubah, atau kebijakannya berubah. Ini juga memberi insinyur berikutnya cara mengonfirmasi rancangan alih-alih menonaktifkan deteksi untuk menutup tiket.

Tinjau daftar sufiks ketika situs diganti nama atau domain dikonsolidasikan, karena entri basi terus menekan terowongan secara diam-diam. Referensi Microsoft tentang deteksi jaringan tepercaya mencantumkan elemen profil dan prasyarat penyebaran, dan itulah dokumen yang dikutip ketika seseorang mengusulkan memperluas daftar.