Hvorfor brukere slår av Always On, og profilen holder det avslått

En bruker fjerner haken for Koble til automatisk, og profilen slutter å koble til. Måneder senere leverer distribusjonsteamet en oppdatert profil med samme navn, forventer at utløseren kommer tilbake, og det gjør den ikke. Årsaken er at valget aldri bare lå i profilen: Windows registrerte brukerens beslutning på dette profilnavnet i sin egen tilstand, og en nyinstallering sletter den ikke. Profilfilen er bare halvparten av konfigurasjonen.

Hva avkrysningsboksen faktisk skriver

Å fjerne alternativet for automatisk tilkobling er en beslutning per enhet som lagres utenfor profilens XML. Microsoft dokumenterer det som en liste over profilnavn der den automatiske utløseren er deaktivert, og derfor overlever innstillingen at profilen fjernes og legges til på nytt.

Den utformingen gir mening fra brukerens side. Noen på en målt tilkobling som slår av automatisk tilkobling, forventer ikke at neste policyoppdatering slår den stille på igjen.

Det betyr også at profilnavnet er en identitet, ikke en etikett. To profiler med samme navn er samme oppføring for den listen, og et nytt navn lager en ny identitet helt uten lagret preferanse.

Hvorfor nyinstallering av profilen ikke nullstiller den

Å slette en VPN-tilkobling og legge den til igjen fra en oppdatert fil fjerner og gjenoppretter profilobjektet. Det fjerner ikke registreringen av brukerens beslutning, fordi den registreringen er nøklet på navn og ikke på profilens interne identifikator.

Så oppdateringen kommer, profilen finnes og er riktig konfigurert, og utløseren utløses fortsatt ikke. Ingenting i profilen forklarer det, og derfor eskaleres dette som en ødelagt utrulling.

Samme atferd kan brukes bevisst: hold profilnavnet stabilt når oppdateringen skal bevare samme tilkobling, og endre det bare når du vil ha en frisk start. Å gi nytt navn for å unnslippe en lagret preferanse fungerer, og det etterlater også den gamle oppføringen, slik at enheten samler navn som ikke lenger svarer til noe.

Bestem hvilken av dem du vil ha før du rører XML-en, fordi navnet er bryteren.

Én aktiv profil, flere kvalifiserte

Windows bruker automatiske utløsere på et begrenset sett med profiler, og flere kvalifiserte profiler gjør ikke at alle kobler til som konkurrerende standarder. Én er aktiv, og de andre venter.

Det betyr noe når en enhet mottar både en brukeromfattet og en enhetsomfattet profil med lignende navn. De er ikke samme tilkobling, og den som kobler til automatisk, er den utvalgsreglene valgte, ikke nødvendigvis den du testet. En test som besto på den andre profilen, beviser ingenting om utløseren. Noter hvilken profil som svarte før du endrer noe.

Les den lagrede tilstanden før en oppdatering

Før du leverer noen profilendring, se hva enheten holder nå: tilkoblingsobjektet, statusen og den lagrede listen over deaktiverte automatiske utløsere.

Disse kommandoene viser VPN-tilkoblingene og søker i registeret etter den dokumenterte verdien:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

En oppføring som samsvarer med profilen du er i ferd med å rulle ut, forteller at brukerens valg allerede er registrert. Det er ikke en feil som skal repareres i stillhet; det er tilstanden policyen din må ta høyde for.

Bestem hvilken policy du vil ha

Det finnes to forsvarlige policyer og én dårlig vane. Den første respekterer brukerens fravalg til brukeren endrer det, og dokumenterer at utløseren er veiledende på administrerte enheter. Den andre behandler automatisk tilkobling som et samsvarskrav, og da bør fravalget ikke tilbys i det hele tatt.

Den dårlige vanen er å skrive om urelatert tilstand for å tvinge utløseren tilbake, noe som virker til neste oppdatering og etterlater enheten med innstillinger ingen kan forklare.

Skriv ned valget der profilen vedlikeholdes, sammen med de fire overgangene som er verdt å gjennomgå: første klargjøring, en normal utløser, en tillatt brukerendring og en oppdatering til samme navn. Automatisering, rutingsomfang og håndheving av frakoblet tilstand er separate kontroller, og etiketten Always On er ingen garanti for noen av dem.