Kvifor Always On VPN sluttar å utløysast på kontornettverket

Den berebære maskina koplar seg til kontorets Wi-Fi, og Always On-profilen som kopla til heimanfrå blir ståande nede. Ingenting i hendingsloggen kallar det ein feil, for frå klienten sitt synspunkt er nettverket klarert og tunnelen unødvendig. Gjenkjenning av klarerte nettverk er funksjonen som tek den avgjerda, og han samanliknar bestemte verdiar i staden for å kjenne att ein kjend SSID. Når avgjerda er feil, må du sjå kva samanlikning som gjekk gjennom.

Kva utløysaren faktisk samanliknar

Tre ting må stemme før klienten behandlar eit nettverk som klarert. For det første må det tilkoplingsspesifikke DNS-suffikset som Windows registrerer for den fysiske adapteren, stå på suffikslista i profilen. For det andre må tilkoplingsprofilen Windows har for nettverket, vere den policyen ventar, fordi samsvaret blir gjort mot den profilen og ikkje mot eit namn ein brukar skreiv i ein trådlaus dialog. For det tredje må nettverket klassifiserast slik policyen krev, som i praksis tyder eit domene- eller privatnettverk, eller eining der policyen kom via administrasjon. Fjern éin av dei, og utløysaren slår til.

Dette er ein smalare test enn å samanlikne VPN-en si offentlege utgangsadresse, og mykje smalare enn å stole på ein SSID. Eit tilgangspunkt som gientek firmanamnet oppfyller ikkje suffiks- og profilsamanlikningane på eiga hand. Det tyder òg at funksjonen ikkje seier noko om nettverket er trygt; han seier om denne eininga meiner ho allereie er heime.

Les gjeldande tilstand før du endrar profilen

Start med det Windows meiner akkurat no. Cmdleten for tilkoplingsprofil rapporterer nettverksnamnet, grensesnittet og kategorien Windows tildelte, som er den tredje samanlikninga ovanfor. Les deretter VPN-profilen og sjå etter lista over klarerte suffiks, med ein full einskapsdump i staden for å gjette einskapsnamna:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Viss den dumpen ikkje viser det klarerte suffikset på din versjon, gå tilbake til XML-en i profilen, som er den autoritative kopien når einskapsflata er ulik mellom versjonar. Les XML-en frå administrasjonspolicyen eller frå profillageret for alle brukarar, og samanlikn suffiksoppføringane med adapterens suffiks som vart rapportert ovanfor. Noter båe verdiane før du rører nokon av dei.

Test grensa i båe retningar

Test på den tiltenkte verksemdstilkoplinga og på eit anna godkjent nettverk, og skriv ned om tunnelen kom opp. Test deretter same eining etter at du har forlate nettverket. Ei berebær maskin som utløysast heime og blir undertrykt på kontoret, oppfører seg som designa, medan ei som aldri utløysast nokon stad, har ein annan feil. Kontroller at ressursane bak tunnelen er tilgjengelege når han utløysast, fordi ein starta tunnel ikkje er bevis på ein fungerande veg.

Ikkje legg til eit breitt suffiks berre for å få ei varsling til å forsvinne. Eit suffiks som dukkar opp på mange nettverk, lærer klienten å undertrykkje tunnelen nesten overalt, og støttebelastninga som følgjer, er verre enn varslinga. Endre kriteria gjennom profileigaren, som i ein administrert flåte er MDM-administratoren og ikkje personen ved maskina.

Hald båe testnettverka i journalen saman med resultatet. Ei grense som aldri er testa, er berre ein påstand.

Skil undertrykkjing frå blokkering

Ein tunnel som ikkje vart starta, er ikkje ei blokkert tilkopling. Gjenkjenning av klarerte nettverk styrer den automatiske utløysinga, medan trafikkfiltrering og kill-switch-åtferd er separate policyinnstillingar med eigne feilmodusar. Ei eining på eit klarert nettverk kan lovleg sende trafikk utanfor tunnelen, og å kalle det ein lekkasje utan å lese policyen blandar to design. Kontroller trafikkreglane til profilen før du gir gjenkjenninga skulda for ein lekkasje.

Den same skilnaden forklarar den motsette klaga. Brukarar som rapporterer at VPN-en stoppa tilfeldig, skildrar vanlegvis ei nettverksendring som oppfylte kriteria, ikkje ein tenestefeil. Det samsvarande suffikset og nettverkskategorien er bevisa som skal samlast inn, og båe viser seg i utdataene ovanfor.

Samle desse bevisa før du endrar policyen. Ein brytar som skjuler symptomet, skjuler òg årsaka.

Noter kva avgjerda bygde på

Skriv det samsvarande suffikset, namnet på tilkoplingsprofilen og nettverkskategorien i distribusjonsnotata for kvar stad. Når tunnelen ikkje kjem opp, gjer den journalen eit mysterium om til ei samanlikning: anten er ein av dei tre verdiane endra, eller policyen er det. Det gir òg den neste ingeniøren ein måte å stadfeste designet på i staden for å deaktivere gjenkjenninga for å lukke saka.

Gå gjennom suffikslista når ein stad får nytt namn eller eit domene blir konsolidert, fordi ei utdatert oppføring held fram med å undertrykkje tunnelen i stillheit. Microsoft sin referanse for gjenkjenning av klarerte nettverk listar opp profilelementa og føresetnadene for distribusjon, og det er dokumentet som blir sitert når nokon føreslår å utvide lista.