Dlaczego użytkownicy wyłączają Always On, a profil pozostawia go wyłączonym

Użytkownik odznacza opcję Połącz automatycznie, a profil przestaje się łączyć. Miesiące później zespół wdrożeniowy dostarcza zaktualizowany profil o tej samej nazwie, oczekuje powrotu wyzwalacza, a on nie wraca. Powód jest taki, że wybór nigdy nie był tylko w profilu: Windows zapisał decyzję użytkownika przy tej nazwie profilu we własnym stanie, a ponowna instalacja tego nie usuwa. Plik profilu to tylko połowa konfiguracji.

Co faktycznie zapisuje pole wyboru

Odznaczenie opcji automatycznego połączenia to decyzja dla każdego urządzenia, przechowywana poza XML profilu. Microsoft dokumentuje ją jako listę nazw profili, których automatyczny wyzwalacz jest wyłączony, dlatego ustawienie przetrwa usunięcie i ponowne dodanie profilu.

Ten projekt ma sens z punktu widzenia użytkownika. Ktoś z limitowanym transferem, kto wyłącza automatyczne połączenie, nie oczekuje, że następne odświeżenie zasad po cichu je włączy.

Oznacza to również, że nazwa profilu jest tożsamością, a nie etykietą. Dwa profile o tej samej nazwie to ten sam wpis dla tej listy, a zmiana nazwy tworzy nową tożsamość całkowicie bez zapisanej preferencji.

Dlaczego ponowna instalacja profilu go nie resetuje

Usunięcie połączenia VPN i dodanie go ponownie z zaktualizowanego pliku usuwa i odtwarza obiekt profilu. Nie usuwa zapisu decyzji użytkownika, ponieważ ten zapis jest powiązany z nazwą, a nie z wewnętrznym identyfikatorem profilu.

Więc aktualizacja przychodzi, profil istnieje i jest poprawnie skonfigurowany, a wyzwalacz nadal nie działa. Nic w profilu tego nie wyjaśnia, dlatego zgłasza się to jako zepsute wdrożenie.

To samo zachowanie można wykorzystać celowo: utrzymuj nazwę profilu stabilną, gdy aktualizacja ma zachować to samo połączenie, i zmieniaj ją tylko wtedy, gdy chcesz nowego początku. Zmiana nazwy, aby ominąć zapisaną preferencję, działa, ale pozostawia też stary wpis, więc urządzenie gromadzi nazwy, które już niczemu nie odpowiadają.

Zdecyduj, którą z tych opcji chcesz, zanim dotkniesz XML, bo nazwa jest przełącznikiem.

Jeden aktywny profil, kilka kwalifikujących się

Windows stosuje automatyczne wyzwalacze do ograniczonego zestawu profili, a kilka kwalifikujących się profili nie sprawia, że wszystkie łączą się jako konkurujące wartości domyślne. Jeden jest aktywny, a pozostałe czekają.

To ma znaczenie, gdy urządzenie otrzymuje zarówno profil w zakresie użytkownika, jak i profil w zakresie urządzenia o podobnych nazwach. To nie to samo połączenie, a łączy się automatycznie ten, który wybrały reguły wyboru, niekoniecznie ten, który testowałeś. Test, który przeszedł na innym profilu, niczego nie dowodzi w kwestii wyzwalacza. Zapisz, który profil odpowiedział, zanim cokolwiek zmienisz.

Przeczytaj zapisany stan przed aktualizacją

Przed wysłaniem jakiejkolwiek zmiany profilu sprawdź, co urządzenie obecnie trzyma: obiekt połączenia, jego stan i zapisaną listę wyłączonych automatycznych wyzwalaczy.

Te polecenia wyświetlają połączenia VPN i szukają w rejestrze udokumentowanej wartości:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

Wpis zgodny z profilem, który zamierzasz wdrożyć, mówi, że wybór użytkownika jest już zapisany. To nie usterka do cichej naprawy; to stan, który twoje zasady muszą uwzględnić.

Zdecyduj, jaką politykę chcesz

Są dwie obronne polityki i jeden zły nawyk. Pierwsza szanuje rezygnację użytkownika, dopóki użytkownik jej nie zmieni, i dokumentuje, że wyzwalacz na zarządzanych urządzeniach ma charakter doradczy. Druga traktuje automatyczne połączenie jako wymóg zgodności, a wtedy rezygnacji nie należy w ogóle oferować.

Zły nawyk to nadpisywanie niepowiązanego stanu, aby wymusić powrót wyzwalacza, co działa do następnego odświeżenia i zostawia urządzenie z ustawieniami, których nikt nie potrafi wyjaśnić.

Zapisz wybór tam, gdzie utrzymywany jest profil, wraz z czterema przejściami wartymi przeglądu: pierwsze przygotowanie, normalny wyzwalacz, dozwolona zmiana użytkownika i aktualizacja do tej samej nazwy. Automatyzacja, zakres routingu i egzekwowanie stanu rozłączenia to osobne mechanizmy kontroli, a etykieta Always On nie jest gwarancją żadnego z nich.