Perché gli utenti disattivano Always On e il profilo lo mantiene disattivato

Un utente deseleziona Connessione automatica e il profilo smette di connettersi. Mesi dopo il team di distribuzione pubblica un profilo aggiornato con lo stesso nome, si aspetta che il trigger ritorni, e non ritorna. La ragione è che la scelta non è mai stata solo nel profilo: Windows ha registrato la decisione dell’utente associata a quel nome di profilo nel proprio stato, e una reinstallazione non la cancella. Il file del profilo è solo metà della configurazione.

Che cosa scrive realmente la casella

Deselezionare l’opzione di connessione automatica è una decisione per dispositivo memorizzata fuori dall’XML del profilo. Microsoft la documenta come un elenco di nomi di profilo il cui trigger automatico è disabilitato, ed è per questo che l’impostazione sopravvive alla rimozione e alla riaggiunta del profilo.

Quel progetto ha senso dal punto di vista dell’utente. Chi è su una connessione a consumo e disattiva la connessione automatica non si aspetta che il successivo aggiornamento dei criteri la riattivi in silenzio.

Significa anche che il nome del profilo è un’identità, non un’etichetta. Due profili con lo stesso nome sono la stessa voce per quell’elenco, e una rinomina crea una nuova identità del tutto priva di preferenze memorizzate.

Perché reinstallare il profilo non lo reimposta

Eliminare una connessione VPN e riaggiungerla da un file aggiornato rimuove e ricrea l’oggetto profilo. Non rimuove il record della decisione dell’utente, perché quel record è indicizzato per nome e non per l’identificatore interno del profilo.

Così l’aggiornamento arriva, il profilo è presente e configurato correttamente, e il trigger ancora non scatta. Nulla nel profilo lo spiega, ed è per questo che la cosa viene escalata come distribuzione rotta.

Lo stesso comportamento può essere usato deliberatamente: mantieni stabile il nome del profilo quando l’aggiornamento deve conservare la stessa connessione, e cambialo solo quando vuoi un inizio pulito. Rinominare per sfuggire a una preferenza memorizzata funziona, e lascia anche indietro la vecchia voce, così il dispositivo accumula nomi che non corrispondono più a nulla.

Decidi quale delle due opzioni vuoi prima di toccare l’XML, perché il nome è l’interruttore.

Un profilo attivo, diversi idonei

Windows applica i trigger automatici a un insieme limitato di profili, e avere diversi profili idonei non li fa connettere tutti come impostazioni predefinite concorrenti. Uno è attivo e gli altri aspettano.

Questo conta quando un dispositivo riceve sia un profilo con ambito utente sia uno con ambito dispositivo con nomi simili. Non sono la stessa connessione, e quello che si connette automaticamente è quello scelto dalle regole di selezione, non necessariamente quello che hai testato. Un test superato sull’altro profilo non dimostra nulla sul trigger. Annota quale profilo ha risposto prima di cambiare qualcosa.

Leggi lo stato memorizzato prima di un aggiornamento

Prima di pubblicare qualsiasi modifica al profilo, guarda cosa tiene attualmente il dispositivo: l’oggetto di connessione, il suo stato e l’elenco memorizzato dei trigger automatici disabilitati.

Questi comandi elencano le connessioni VPN e cercano nel registro il valore documentato:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

Una voce corrispondente al profilo che stai per distribuire ti dice che la scelta dell’utente è già registrata. Non è un difetto da riparare in silenzio; è lo stato di cui la tua politica deve tenere conto.

Decidi quale politica vuoi

Ci sono due politiche difendibili e una cattiva abitudine. La prima rispetta la rinuncia dell’utente finché l’utente non la cambia, e documenta che il trigger è indicativo sui dispositivi gestiti. La seconda tratta la connessione automatica come un requisito di conformità, e allora la rinuncia non dovrebbe essere offerta affatto.

La cattiva abitudine è riscrivere uno stato non correlato per forzare il trigger di nuovo, il che funziona fino al prossimo aggiornamento e lascia il dispositivo con impostazioni che nessuno riesce a spiegare.

Annota la scelta dove viene mantenuto il profilo, insieme alle quattro transizioni che vale la pena esaminare: il primo approvvigionamento, un trigger normale, una modifica consentita dall’utente e un aggiornamento allo stesso nome. L’automazione, l’ambito di routing e l’applicazione dello stato disconnesso sono controlli separati, e l’etichetta Always On non è garanzia di nessuno di essi.