Always On VPN は LAN アクセスではない：リソース確認チェックリスト

Always On は接続のライフサイクルです。プロファイルはサインイン時またはその前に接続し、利用者が何も押さなくても再接続します。だからといって、すべてのプライベートな宛先、プロトコル、利用者が許可されるわけではありません。実務上の問いは、展開したプロファイルが実際にどのリソースを届けるかであり、その答えには Connected バッジを見るのではなく、リソースごとの確認が必要です。

ステップ 1：試す前にリソースを書き出す

アプリケーションごとに短い記録を一つ作り、値は実際の環境から取ります。名前、宛先プレフィックス、サービスとポート、トンネルの役割、ID グループ、リゾルバーの経路です。

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

この記録は四つの別々の問いを強制します。ルートはアドレスの行き先を決め、DNS ポリシーはクライアントがアドレスをどう知るかを決め、トラフィックフィルターはその通信が接続を使えるかを決め、宛先のファイアウォールとアプリの権限は要求が受け入れられるかを決めます。四つのどれも、接続済みのトンネルから導かれるものではありません。

ステップ 2：どのトンネルが運ぶべきかを決める

Windows Always On VPN にはデバイストンネルとユーザートンネルがあり、それぞれ別の証明書と別のスコープを持つ別個のプロファイルとして構成されます。デバイストンネルは通常、サインイン前に必要な管理やドメインサービスといった基盤だけを運びます。従業員の広範なアプリアクセスはユーザートンネルに属します。

トラフィックフィルターはデバイストンネルの機能であり、Microsoft の例が管理通信にそれを使うのはそのためです。その例を汎用のリソースプロファイルにコピーすると、接続はするが誤った集合を運ぶトンネルになります。Get-VpnConnection で有効な接続を確認し、その接続の下でテストしてください。

ステップ 3：実際のアドレスでルートを検証する

名前を一度解決してからルートを確認します。Find-NetRoute -RemoteIPAddress 10.20.5.10 は選択されたインターフェイス、次のホップ、送信元アドレスを報告します。インターフェイスが物理アダプターなら、プレフィックスがトンネルのルート集合にないか、クライアントが分割トンネルで除外しています。ローカルルートを足すのではなく、プロファイル定義と比較してください。

ローカルの route add はテストを通しても次のポリシー更新で消えるため、変更は管理されたプロファイルに入れます。ユーザーとデバイスの両方のプロファイルでプレフィックスを確認し、分割トンネルの設定も見ます。フルトンネルにはプレフィックスごとのルートは不要で、分割トンネルには運ぶプライベートプレフィックスごとに一つ必要です。

ステップ 4：プライベート名の解決を別に試す

プライベート名には独自のポリシー経路があります。プロファイルは NRPT 規則と DNS サフィックス検索リストを配信でき、トンネルが上がっている間だけ有効です。Get-DnsClientNrptPolicy でクライアントが実際に受け取った内容を読み、同じセッションで名前とアドレスを試します。アドレスが通るのに名前が落ちるならリゾルバー、両方落ちるならルートです。

名前がトンネルのルート外のアドレスに解決されることもあり、成功とタイムアウトが混ざります。返されたアドレスを記録のプレフィックスと比較してください。違うなら、プライベートゾーンがパブリックまたは代替のアドレスで応答しており、一致したルートは設計したものではありません。

ステップ 5：フィルター、ID、アプリ自身の関門を確認する

トラフィックフィルターは、どのプロトコルとポートがデバイストンネルを使えるかを制限し、狭い集合はルートが運ぶはずのリソースを遮断します。プロファイルは接続をグループに割り当てますが、リソース側にも独自の承認があります。接続できる利用者がファイルサーバーに受け入れられるとは限りません。

管理されたプロファイルは、Intune、ProfileXML の配備、運用チームのスクリプトのいずれであっても、その所有者を通じて変更します。そのうえで通常の再接続後と再起動後に再テストしてください。よくある失敗は、古いローカルルートか、一度しか適用されていないプロファイルです。プロファイルの版をテスト結果の隣に残します。