VPNのセカンダリは一つのWi-Fiプロファイルに属し、すべてには属さない

VPNを自宅Wi-Fi接続のセカンダリとして設定するとすべて動作しますが、ノートPCが別のアクセスポイントに接続するとトンネルは落ちたままになります。新しい接続は独自のUUIDを持つ別の設定オブジェクトであり、前任者のために作った結合を知る理由はありません。故障ではなく、関連付けがそもそも存在しなかっただけです。

NetworkManagerの接続リファレンスは、セカンダリを特定のベース接続とともに有効化されるUUIDとして定義しています。また、通常のVPNプロファイルはベース接続のように自動有効化を実装しないとも記しています。どちらの記述も、関連付けはプロファイルごとのものであり新しいプロファイルごとに誰かが作成する必要があるという同じ結論を指します。

セカンダリとは実際何か

ベース接続には識別子、UUID、セカンダリの一覧があります。有効化されると、マネージャーはそれらのセカンダリも順に有効化し、こうしてVPNは手動クリックなしでWi-Fiネットワークに追随します。関係はベース接続上にあり、名前ではなくUUID文字列として書かれます。この表現の選択は偶然ではなく、名前変更を経ても関連付けを生き残らせるのはこれだからです。

名前に関するこの細部は見た目以上に重要です。VPNプロファイルの名前を変えてもUUIDはそのままなので、既存の関連付けは機能し続けます。古いプロファイルを削除して新しいものをインポートすると新しいUUIDが生成され、古い方を指していた関連付けは何も指さなくなります。

追加する前に既存の一覧を確認してください。セカンダリを一つ持つ自宅プロファイルはすべてのSSIDに当てはまる規則ではなく、一つのオブジェクト内の一行であり、別のベースが有効化されたときには参照されません。

関連付けはプロファイルを作成する場所に置く

個人のマシンでは、意図したセカンダリの接続を、許可された各Wi-Fiプロファイルの追加手順の一部にしてください。機能ではなく習慣ですが、一貫した状態を生む習慣であり、ネットワークごとにコマンド一つかダイアログ二回分で済みます。どのネットワークがトンネルを担うべきかを短く記録しておいてください、一覧がポリシーそのものだからです。

管理対象デバイスでは、プロビジョニングのワークフローがWi-FiエントリとそのVPN関連付けを同じ手順で作成するようにし、既存の許可済みプロファイルにも同じ扱いを適用してください。VPNプロファイルだけを配布するとベースの関係が未指定のままになり、こうしてフリートの半分のノートPCしか使わないトンネルが生まれます。

ユーザーが管理された経路の外でプロファイルを作成できる場合、それらのエントリをどう扱うかを明示的に決めてください。関連付けを継承すると仮定するのはポリシーではなく、サポート費用を伴う希望です。

VPNの識別子が変わることに備える

プロビジョニング元には、誰かが推測した表示名ではなく、意図したVPNのUUIDが必要です。保守作業がそのVPNを新しくインポートしたオブジェクトに置き換えるときは、同じ変更の中でプロビジョニングテンプレートと影響を受ける既存の関連付けを更新してください。名前変更は置き換えではなく、両者を同等に扱うことが、機能していた展開を一週間後に壊す原因になります。

UUIDはそれが存在する理由のそばに保存してください。セカンダリの一覧で裸のUUIDを見つけた将来のエンジニアには、それが現行かどうかを判断する手段がなく、片付けの際に削除してしまう可能性が高いからです。

有効化は強制ではない

セカンダリの要求は有効化の時点で発生します。認証が完了する前の間隔でアプリケーションを遮断するものではなく、トンネル障害後にトラフィックを止めるものでもありません。これらは別の仕組みが提供する別の性質であり、混同するとプロファイル上は厳格に見えて実際には緩い設計になります。

直接トラフィックの遮断は独自の設定と独自の障害モードを持つ別機能であり、トンネルが存在する前にネットワークへ到達しなければならないトラフィック（キャプティブポータル、サインインページ、エンドポイント自体）を考慮する必要があります。認証前に満たせない遮断ポリシーは、そのマシンを必要なネットワークから締め出します。

その区別を、ユーザーが実際に読む手順に書き込んでください。新しいWi-Fiネットワークはトンネルを要求できますが、強制は接続できないときに何かが外へ出てよいかを決めます。前半だけを伝えられたユーザーは、設計が壊れていると報告するでしょう。

本当に新しいプロファイルでテストする

すでに動作している自宅のエントリではなく、承認されたテストネットワークと新規作成したベースプロファイルを使用してください。ベースの有効化、要求されたセカンダリUUID、認証プロンプトを順に観察し、どこで止まるならどの段階で止まるかを記録します。デスクトップログイン後に利用可能になるシークレットエージェントは、すべての起動コンテキストに自動的に存在するわけではないため、再起動もテスト計画に含めます。次に意図したリソースと障害経路として、アプリケーションが必要とする前にトンネルは上がるか、認証に失敗したときそのアプリケーションはどうなるかを確認してください。

次に意図したリソースと障害経路として、アプリケーションが必要とする前にトンネルは上がるか、トンネルが認証できないときそのアプリケーションはどうなるかを確認してください。この二つの観察が受け入れ基準であり、どちらもプロファイル自体には現れません。