Waarom Always On VPN niet meer afgaat op het kantoornetwerk

De laptop voegt zich bij de Wi-Fi van kantoor, en het Always On-profiel dat thuis verbond blijft omlaag. Niets in het gebeurtenislogboek noemt dat een fout, want vanuit het oogpunt van de client is het netwerk vertrouwd en is de tunnel overbodig. Detectie van vertrouwde netwerken is de functie die die beslissing neemt, en ze vergelijkt specifieke waarden in plaats van een bekend SSID te herkennen. Als de beslissing verkeerd is, moet je zien welke vergelijking slaagde.

Wat de trigger werkelijk vergelijkt

Drie dingen moeten kloppen voordat de client een netwerk als vertrouwd behandelt. Ten eerste moet het verbindingsspecifieke DNS-suffix dat Windows voor de fysieke adapter vastlegt, op de suffixlijst in het profiel staan. Ten tweede moet het verbindingsprofiel dat Windows voor dat netwerk bijhoudt, het profiel zijn dat het beleid verwacht, want de vergelijking gebeurt tegen dat profiel en niet tegen een naam die een gebruiker in een draadloze dialoog typte. Ten derde moet het netwerk worden geclassificeerd zoals het beleid vereist, wat in de praktijk een domein- of particulier netwerk betekent, of een apparaat waarvan het beleid via beheer binnenkwam. Laat er één weg en de trigger grijpt in.

Dat is een engere test dan het vergelijken van het openbare uitgangsadres van de VPN, en veel enger dan het vertrouwen op een SSID. Een toegangspunt dat de bedrijfsnaam herhaalt, voldoet niet op eigen kracht aan de suffix- en profielvergelijkingen. Het betekent ook dat de functie niets zegt over de vraag of een netwerk veilig is; ze zegt of dit apparaat meent al thuis te zijn.

Lees de huidige toestand voordat je het profiel wijzigt

Begin met wat Windows nu meent. De cmdlet voor verbindingsprofielen meldt de netwerknaam, de interface en de categorie die Windows heeft toegekend, en dat is de derde vergelijking hierboven. Lees daarna het VPN-profiel en zoek de lijst met vertrouwde suffixen, met een volledige dump van eigenschappen in plaats van de eigenschapsnamen te raden:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Als die dump het vertrouwde suffix op jouw build niet toont, val terug op de XML van het profiel, de gezaghebbende kopie wanneer het eigenschapsoppervlak tussen versies verschilt. Lees de XML uit het beheerbeleid of uit het profielarchief voor alle gebruikers, en vergelijk de suffixvermeldingen met het hierboven gemelde adaptersuffix. Noteer beide waarden voordat je er een aanraakt.

Test de grens in beide richtingen

Test op de bedoelde bedrijfsaansluiting en op een ander goedgekeurd netwerk, en noteer of de tunnel omhoogkwam. Test daarna hetzelfde apparaat na het verlaten. Een laptop die thuis afgaat en op kantoor wordt onderdrukt, gedraagt zich zoals ontworpen, terwijl een die nergens afgaat een andere fout heeft. Controleer of de bronnen achter de tunnel bereikbaar zijn wanneer hij afgaat, want een gestarte tunnel is geen bewijs van een werkend pad.

Voeg geen breed suffix toe alleen om een melding te laten verdwijnen. Een suffix dat op veel netwerken voorkomt, leert de client de tunnel bijna overal te onderdrukken, en de supportlast die daarop volgt is erger dan de melding. Wijzig de criteria via de profieleigenaar, die in een beheerde vloot de MDM-beheerder is en niet de persoon achter de laptop.

Bewaar beide testnetwerken in het verslag naast het resultaat. Een grens die nooit is getest, is slechts een bewering.

Onderscheid onderdrukking van blokkering

Een tunnel die niet is gestart, is geen geblokkeerde verbinding. Detectie van vertrouwde netwerken beheert de automatische activering, terwijl verkeersfiltering en kill-switchgedrag aparte beleidsinstellingen met eigen faalmodi zijn. Een apparaat op een vertrouwd netwerk mag legitiem verkeer buiten de tunnel sturen, en dat een lek noemen zonder het beleid te lezen verwart twee ontwerpen. Controleer de verkeersregels van het profiel voordat je de detectie de schuld geeft van een lek.

Dezelfde scheiding verklaart de omgekeerde klacht. Gebruikers die melden dat de VPN willekeurig stopte, beschrijven meestal een netwerkverandering die aan de criteria voldeed, geen dienststoring. Het overeenkomende suffix en de netwerkcategorie zijn de bewijzen die je moet verzamelen, en beide verschijnen in de uitvoer hierboven.

Verzamel dat bewijs voordat je het beleid wijzigt. Een schakelaar die het symptoom verbergt, verbergt ook de oorzaak.

Noteer waarop de beslissing was gebaseerd

Schrijf het overeenkomende suffix, de naam van het verbindingsprofiel en de netwerkcategorie in de uitrolnotities van elke locatie. Als de tunnel niet omhoogkomt, verandert dat verslag een raadsel in een vergelijking: ofwel is een van de drie waarden veranderd, ofwel het beleid. Het geeft de volgende ingenieur ook een manier om het ontwerp te bevestigen in plaats van de detectie uit te schakelen om het ticket te sluiten.

Herzie de suffixlijst wanneer een locatie wordt hernoemd of een domein wordt geconsolideerd, want een verouderde vermelding onderdrukt de tunnel stil door. De Microsoft-referentie over detectie van vertrouwde netwerken somt de profielelementen en de uitroolvereisten op, en het is het document dat je citeert wanneer iemand voorstelt de lijst te verbreden.