オフィスネットワークで Always On VPN が自動接続しなくなる理由

ノート PC がオフィスの Wi-Fi に参加すると、自宅から接続していた Always On プロファイルは下がったままになります。イベントログには失敗として記録されませんが、それはクライアントから見ればネットワークが信頼済みでトンネルが不要だからです。この判断をしているのが信頼されたネットワークの検出機能で、見慣れた SSID を認識するのではなく、特定の値を比較します。判断が誤っているときは、どの比較が通ったのかを確認する必要があります。

トリガーが実際に比較するもの

クライアントがネットワークを信頼済みとみなすには、三つの条件が揃う必要があります。第一に、Windows が物理アダプターに記録する接続固有の DNS サフィックスが、プロファイルのサフィックス一覧に含まれていることです。第二に、Windows がそのネットワークに対して保持する接続プロファイルが、ポリシーの期待するものであることです（照合相手はそのプロファイルであり、ワイヤレスダイアログで入力された名前ではありません）。第三に、ネットワークがポリシーの求める方法で分類されていることで、実際にはドメインネットワークかプライベートネットワーク、あるいは管理経由でポリシーが届いたデバイスを意味します。どれか一つでも欠けるとトリガーは作動します。

これは VPN の公開出口アドレスを比べるより狭い判定で、SSID を信頼するよりはるかに狭い判定です。社名を返すアクセスポイントだけでは、サフィックスとプロファイルの比較を満たしません。この機能はネットワークが安全かどうかを何も語らず、このデバイスが既に拠点にいると考えているかだけを語ります。

プロファイルを変更する前に現状を読む

まず Windows が現在どう判断しているかを確認します。接続プロファイルのコマンドレットがネットワーク名、インターフェイス、Windows が割り当てたカテゴリを報告し（これが上記の第三の比較です）、そのうえで VPN プロファイルを読み、プロパティ名を推測せず完全なプロパティダンプで信頼されたサフィックスの一覧を探してください。

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

そのダンプでビルド上の信頼サフィックスが表示されない場合は、バージョン間でプロパティの範囲が異なるときの正本であるプロファイルの XML に戻ります。管理ポリシーか全ユーザーのプロファイルストアから XML を読み、そのサフィックス項目を上で報告したアダプターのサフィックスと比較します。どちらかに触れる前に両方の値を記録してください。

境界を両方向でテストする

想定された社内接続と、承認済みの別ネットワークで試し、トンネルが上がったかを記録します。そのうえで、離脱後に同じデバイスを試します。自宅では作動し社内では抑止されるノート PC は設計どおりの動作で、どこでも作動しないノート PC は別の不具合を抱えています。作動した場合にトンネル背後のリソースへ到達できるかを確認してください（トンネルが開始したことは経路が機能する証明ではありません）。

通知を消すためだけに広いサフィックスを追加しないでください。多くのネットワークに現れるサフィックスは、ほぼどこでもトンネルを抑止するようクライアントに教え込むことになり、その後のサポート負荷は通知より悪くなります。基準はプロファイルの所有者を通じて変更します（管理された端末群では、ノート PC の前にいる人ではなく MDM 管理者が所有者です）。

二つの試験ネットワークを結果とともに記録に残します。一度も試していない境界は、単なる主張にすぎません。

抑止とブロックを切り分ける

開始されなかったトンネルは、ブロックされた接続ではありません。信頼されたネットワークの検出は自動接続を制御し、トラフィックフィルタリングと kill-switch の動作は独自の故障モードを持つ別個のポリシー設定です。信頼済みネットワーク上のデバイスがトンネル外へ通信することは正当であり、ポリシーを読まずに漏えいと呼ぶのは二つの設計の混同です。漏えいの責任を検出機能に負わせる前に、プロファイルの通信規則を確認してください。

同じ区別が逆の不満も説明します。VPN が勝手に止まったと報告する利用者は、多くの場合、条件を満たしたネットワーク変化を述べているのであって、サービス障害ではありません。一致したサフィックスとネットワークカテゴリが集めるべき証拠で、どちらも上記の出力に現れます。

ポリシーを変える前にその証拠を集めてください。症状を隠すスイッチは原因も隠します。

判断の根拠を記録する

一致したサフィックス、接続プロファイル名、ネットワークカテゴリを各拠点の展開ノートに書き込みます。トンネルが上がらないとき、この記録は謎を比較に変えます（三つの値のどれかが変わったのか、それともポリシーが変わったのかが分かります）。チケットを閉じるために検出を無効化する代わりに、次のエンジニアが設計を確認する手段にもなります。

拠点の改名やドメインの統合時には、古いエントリが黙ってトンネルを抑止し続けるため、サフィックス一覧を見直してください。Microsoft の 信頼されたネットワークの検出に関するリファレンスにはプロファイル要素と展開の前提条件が並んでおり、一覧の拡大を誰かが提案したときに引用すべき文書です。