Mengapa Always On VPN Berhenti Dicetuskan di Rangkaian Pejabat

Komputer riba menyertai Wi-Fi pejabat, dan profil Always On yang menyambung dari rumah kekal tidak aktif. Tiada apa pun dalam log peristiwa memanggilnya kegagalan, kerana dari sudut pandangan klien rangkaian itu dipercayai dan terowong tidak diperlukan. Pengesanan rangkaian dipercayai ialah ciri yang membuat keputusan itu, dan ia membandingkan nilai tertentu dan bukannya mengenali SSID yang biasa. Apabila keputusan itu salah, anda perlu melihat perbandingan mana yang lulus.

Apa yang sebenarnya dibandingkan oleh pencetus

Tiga perkara mesti sepadan sebelum klien menganggap sesuatu rangkaian sebagai dipercayai. Pertama, akhiran DNS khusus sambungan yang direkodkan Windows untuk penyesuai fizikal mesti muncul dalam senarai akhiran dalam profil. Kedua, profil sambungan yang disimpan Windows untuk rangkaian itu mesti yang dijangka oleh dasar, kerana padanan dibuat terhadap profil itu dan bukan terhadap nama yang ditaip pengguna dalam dialog wayarles. Ketiga, rangkaian mesti dikelaskan seperti yang dikehendaki dasar, yang dalam praktiknya bermaksud rangkaian domain atau persendirian, atau peranti yang dasarnya datang melalui pengurusan. Buang mana-mana satu dan pencetus akan berfungsi.

Ini ujian yang lebih sempit daripada membandingkan alamat keluar awam VPN, dan jauh lebih sempit daripada mempercayai SSID. Titik akses yang mengulang nama korporat tidak memenuhi perbandingan akhiran dan profil dengan sendirinya. Ia juga bermakna ciri ini tidak berkata apa-apa tentang keselamatan rangkaian; ia berkata sama ada peranti ini percaya ia sudah berada di rumah.

Baca keadaan semasa sebelum menukar profil

Mulakan dengan apa yang Windows percaya sekarang. Cmdlet profil sambungan melaporkan nama rangkaian, antara muka dan kategori yang ditetapkan Windows, iaitu perbandingan ketiga di atas. Kemudian baca profil VPN dan cari senarai akhiran dipercayai, dengan dump sifat penuh dan bukannya meneka nama sifat:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Jika dump itu tidak mendedahkan akhiran dipercayai pada binaan anda, kembali kepada XML profil, yang merupakan salinan berwibawa apabila permukaan sifat berbeza antara versi. Baca XML itu daripada dasar pengurusan atau daripada stor profil semua pengguna, dan bandingkan entri akhirannya dengan akhiran penyesuai yang dilaporkan di atas. Catat kedua-dua nilai sebelum menyentuh mana-mana satu.

Uji sempadan dalam kedua-dua arah

Uji pada sambungan korporat yang dimaksudkan dan pada satu lagi rangkaian yang diluluskan, dan catat sama ada terowong naik. Kemudian uji peranti yang sama selepas meninggalkannya. Komputer riba yang dicetuskan di rumah dan disekat di pejabat berkelakuan seperti direka, manakala yang tidak pernah dicetuskan di mana-mana mempunyai kerosakan lain. Semak sama ada sumber di belakang terowong boleh dicapai apabila ia dicetuskan, kerana terowong yang dimulakan bukan bukti laluan yang berfungsi.

Jangan tambah akhiran luas semata-mata supaya pemberitahuan hilang. Akhiran yang muncul pada banyak rangkaian mengajar klien menyekat terowong hampir di mana-mana, dan beban sokongan yang menyusul lebih buruk daripada pemberitahuan itu. Tukar kriteria melalui pemilik profil, yang dalam armada terurus ialah pentadbir MDM dan bukan orang di hadapan komputer riba.

Simpan kedua-dua rangkaian ujian dalam rekod bersama hasilnya. Sempadan yang tidak pernah diuji hanyalah dakwaan.

Asingkan penyekatan daripada penghalangan

Terowong yang tidak dimulakan bukan sambungan yang dihalang. Pengesanan rangkaian dipercayai mengawal pencetusan automatik, manakala penapisan trafik dan tingkah laku kill-switch ialah tetapan dasar berasingan dengan mod kegagalan tersendiri. Peranti pada rangkaian dipercayai boleh menghantar trafik di luar terowong secara sah, dan menyebutnya kebocoran tanpa membaca dasar mencampurkan dua reka bentuk. Semak peraturan trafik profil sebelum menyalahkan pengesanan atas kebocoran.

Perbezaan yang sama menjelaskan aduan sebaliknya. Pengguna yang melaporkan VPN berhenti secara rawak biasanya menerangkan perubahan rangkaian yang memenuhi kriteria, bukan kegagalan perkhidmatan. Akhiran yang sepadan dan kategori rangkaian ialah bukti yang perlu dikumpul, dan kedua-duanya muncul dalam output di atas.

Kumpulkan bukti itu sebelum menukar dasar. Suis yang menyembunyikan gejala juga menyembunyikan punca.

Catat atas dasar apa keputusan itu dibuat

Tulis akhiran yang sepadan, nama profil sambungan dan kategori rangkaian dalam nota penggunaan untuk setiap tapak. Apabila terowong tidak naik, rekod itu mengubah misteri menjadi perbandingan: sama ada salah satu daripada tiga nilai berubah, atau dasarnya berubah. Ia juga memberi jurutera seterusnya cara mengesahkan reka bentuk dan bukan menyahaktifkan pengesanan untuk menutup tiket.

Semak senarai akhiran apabila tapak dinamakan semula atau domain disatukan, kerana entri lapuk terus menyekat terowong secara senyap. Rujukan Microsoft tentang pengesanan rangkaian dipercayai menyenaraikan elemen profil dan prasyarat penggunaan, dan itulah dokumen yang perlu dipetik apabila seseorang mencadangkan meluaskan senarai itu.