Waarom gebruikers Always On uitzetten en het profiel het uit laat

Een gebruiker haalt het vinkje bij Automatisch verbinden weg, en het profiel stopt met verbinden. Maanden later levert het deploymentteam een bijgewerkt profiel met dezelfde naam, verwacht dat de trigger terugkomt, en dat gebeurt niet. De reden is dat de keuze nooit alleen in het profiel zat: Windows legde de beslissing van de gebruiker vast bij die profielnaam in zijn eigen status, en een herinstallatie wist die niet. Het profielbestand is maar de helft van de configuratie.

Wat het selectievakje werkelijk schrijft

Het weghalen van de optie automatisch verbinden is een beslissing per apparaat die buiten de XML van het profiel wordt opgeslagen. Microsoft documenteert het als een lijst met profielnamen waarvan de automatische trigger is uitgeschakeld, waardoor de instelling het verwijderen en opnieuw toevoegen van het profiel overleeft.

Dat ontwerp is logisch vanuit de gebruiker. Iemand op een databegrensde verbinding die automatisch verbinden uitzet, verwacht niet dat de volgende beleidsupdate het stilletjes weer aanzet.

Het betekent ook dat de profielnaam een identiteit is, geen label. Twee profielen met dezelfde naam zijn dezelfde vermelding voor die lijst, en een hernoeming maakt een nieuwe identiteit zonder enige opgeslagen voorkeur.

Waarom het opnieuw installeren van het profiel het niet reset

Een VPN-verbinding verwijderen en opnieuw toevoegen uit een bijgewerkt bestand verwijdert en herschept het profielobject. Het verwijdert niet de registratie van de beslissing van de gebruiker, omdat die registratie op naam is gesleuteld en niet op de interne identificatie van het profiel.

Dus de update komt, het profiel is aanwezig en correct geconfigureerd, en de trigger vuurt nog steeds niet. Niets in het profiel verklaart dat, en daarom wordt dit geëscaleerd als een kapotte uitrol.

Hetzelfde gedrag kan bewust worden gebruikt: houd de profielnaam stabiel wanneer de update dezelfde verbinding moet behouden, en wijzig die alleen wanneer je een frisse start wilt. Hernoemen om een opgeslagen voorkeur te omzeilen werkt, en het laat ook de oude vermelding achter, zodat het apparaat namen verzamelt die nergens meer bij passen.

Bepaal welke van de twee je wilt voordat je de XML aanraakt, want de naam is de schakelaar.

Eén actief profiel, meerdere geschikte

Windows past automatische triggers toe op een beperkte set profielen, en meerdere geschikte profielen zorgen er niet voor dat ze allemaal verbinden als concurrerende standaarden. Eén is actief, en de andere wachten.

Dat is belangrijk wanneer een apparaat zowel een profiel binnen gebruikersbereik als een profiel binnen apparaatbereik met vergelijkbare namen ontvangt. Ze zijn niet dezelfde verbinding, en degene die automatisch verbindt is degene die de selectieregels kozen, niet noodzakelijk degene die je hebt getest. Een test die op het andere profiel slaagde, bewijst niets over de trigger. Noteer welk profiel antwoordde voordat je iets wijzigt.

Lees de opgeslagen status vóór een update

Voordat je een profielwijziging levert, kijk wat het apparaat nu heeft: het verbindingsobject, de status en de opgeslagen lijst met uitgeschakelde automatische triggers.

Deze opdrachten tonen de VPN-verbindingen en zoeken in het register naar de gedocumenteerde waarde:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

Een vermelding die overeenkomt met het profiel dat je gaat uitrollen, zegt dat de keuze van de gebruiker al is vastgelegd. Dat is geen fout die stil moet worden gerepareerd; het is de status waarmee je beleid rekening moet houden.

Bepaal welk beleid je wilt

Er zijn twee verdedigbare beleidslijnen en één slechte gewoonte. De eerste respecteert de afwijzing van een gebruiker totdat de gebruiker die wijzigt, en documenteert dat de trigger op beheerde apparaten adviserend is. De tweede behandelt automatisch verbinden als compliance-eis, en dan zou de afwijzing helemaal niet moeten worden aangeboden.

De slechte gewoonte is het herschrijven van niet-gerelateerde status om de trigger terug te dwingen, wat werkt tot de volgende verversing en het apparaat achterlaat met instellingen die niemand kan verklaren.

Leg de keuze vast waar het profiel wordt onderhouden, samen met de vier overgangen die het bekijken waard zijn: eerste inrichting, een normale trigger, een toegestane gebruikerswijziging en een update naar dezelfde naam. Automatisering, routingbereik en handhaving van de verbroken status zijn aparte controles, en het label Always On is geen garantie voor een daarvan.