Зошто Always On VPN престанува да се активира на канцелариската мрежа

Лаптопот се приклучува на канцеларискиот Wi-Fi, а профилот Always On што се поврзуваше од дома останува исклучен. Ништо во дневникот на настани не го нарекува тоа грешка, бидејќи од гледна точка на клиентот мрежата е доверлива и тунелот е непотребен. Откривањето доверлива мрежа е функцијата што ја носи таа одлука и таа споредува конкретни вредности наместо да препознава познат SSID. Кога одлуката е погрешна, треба да видите која споредба помина.

Што всушност споредува активаторот

Три работи мора да се совпаднат пред клиентот да ја смета мрежата за доверлива. Прво, DNS-суфиксот специфичен за врската што Windows го запишува за физичкиот адаптер мора да се појави на списокот со суфикси во профилот. Второ, профилот на врската што Windows го држи за таа мрежа мора да биде оној што го очекува политиката, бидејќи совпаѓањето се врши со тој профил, а не со име што корисникот го внел во безжичен дијалог. Трето, мрежата мора да се класифицира како што бара политиката, што во практика значи доменска или приватна мрежа, или уред чија политика пристигнала преку управување. Отстранете која било од нив и активаторот ќе се вклучи.

Ова е потесен тест од споредувањето на јавната излезна адреса на VPN и многу потесен од доверувањето на SSID. Пристапната точка што го повторува корпоративното име сама по себе не ги задоволува споредбите на суфиксот и профилот. Тоа исто така значи дека функцијата не кажува ништо за тоа дали мрежата е безбедна; таа кажува дали овој уред смета дека веќе е дома.

Прочитајте ја тековната состојба пред да го менувате профилот

Започнете со она што Windows моментално го смета за точно. Cmdlet-от на профилот на врската го известува името на мрежата, интерфејсот и категоријата што ја доделил Windows, а тоа е третата споредба погоре. Потоа прочитајте го VPN-профилот и пронајдете го списокот со доверливи суфикси, користејќи целосен испис на својства наместо да ги погодувате имињата:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Ако тој испис не го открива доверливиот суфикс во вашата верзија, вратете се на XML-от на профилот, кој е авторитетна копија кога површината на својствата се разликува меѓу верзиите. Прочитајте го XML-от од политиката за управување или од складиштето на профили за сите корисници и споредете ги неговите записи за суфикс со суфиксот на адаптерот наведен погоре. Запишете ги двете вредности пред да допрете која било од нив.

Тестирајте ја границата во двете насоки

Тестирајте на предвиденото корпоративно приклучување и на уште една одобрена мрежа и запишете дали тунелот се подигна. Потоа тестирајте го истиот уред откако ќе заминете. Лаптоп што се активира дома и се потиснува во канцеларија се однесува како што е проектиран, додека оној што никогаш не се активира никаде има друг дефект. Проверете дали ресурсите зад тунелот се достапни кога се активира, бидејќи започнат тунел не е доказ за работна патека.

Не додавајте широк суфикс само за да исчезне известување. Суфиксот што се појавува на многу мрежи го учи клиентот да го потиснува тунелот речиси насекаде, а товарот за поддршка што следи е полош од известувањето. Менувајте ги критериумите преку сопственикот на профилот, кој во управуван парк е администраторот на MDM, а не лицето зад лаптопот.

Чувајте ги двете тест-мрежи во записот заедно со резултатот. Граница што никогаш не е тестирана е само тврдење.

Одвојте го потиснувањето од блокирањето

Тунел што не е започнат не е блокирана врска. Откривањето доверлива мрежа го контролира автоматскиот активатор, додека филтрирањето на сообраќајот и однесувањето на kill-switch се одделни поставки на политиката со свои режими на откажување. Уред на доверлива мрежа може легитимно да испраќа сообраќај надвор од тунелот, а тоа да се нарече истекување без читање на политиката значи да се помешаат два проекта. Проверете ги правилата за сообраќај на профилот пред да го обвините откривањето за истекување.

Истата разлика ја објаснува обратната жалба. Корисниците што пријавуваат дека VPN-от запрел случајно обично опишуваат промена на мрежата што ги задоволила критериумите, а не дефект на услугата. Совпаднатиот суфикс и категоријата на мрежата се доказите што треба да се соберат и двете се појавуваат во излезот погоре.

Соберете ги тие докази пред да ја менувате политиката. Прекинувач што го крие симптомот ја крие и причината.

Запишете на што се засновала одлуката

Запишете го совпаднатиот суфикс, името на профилот на врската и категоријата на мрежата во белешките за распоредување за секоја локација. Кога тунелот не се подигнува, тој запис ја претвора мистеријата во споредба: или се променила една од трите вредности, или политиката. Тоа му дава на следниот инженер начин да го потврди проектот наместо да го исклучи откривањето за да го затвори тикетот.

Прегледајте го списокот со суфикси кога локацијата се преименува или доменот се консолидира, бидејќи застарениот запис продолжува тивко да го потиснува тунелот. Референцата на Microsoft за откривање доверлива мрежа ги наведува елементите на профилот и предусловите за распоредување и тоа е документот што се цитира кога некој предлага проширување на списокот.