Dlaczego Always On VPN przestaje wyzwalać się w sieci biurowej

Laptop dołącza do Wi-Fi biura, a profil Always On, który łączył się z domu, pozostaje wyłączony. Nic w dzienniku zdarzeń nie nazywa tego błędem, bo z punktu widzenia klienta sieć jest zaufana, a tunel niepotrzebny. Wykrywanie zaufanych sieci to funkcja, która podejmuje tę decyzję, i porównuje konkretne wartości, zamiast rozpoznawać znany SSID. Gdy decyzja jest błędna, trzeba zobaczyć, które porównanie przeszło.

Co faktycznie porównuje wyzwalacz

Trzy rzeczy muszą się zbiec, zanim klient uzna sieć za zaufaną. Po pierwsze, sufiks DNS właściwy dla połączenia, który Windows zapisuje dla adaptera fizycznego, musi występować na liście sufiksów w profilu. Po drugie, profil połączenia, który Windows przechowuje dla tej sieci, musi być tym, którego oczekuje zasada, bo dopasowanie odbywa się wobec tego profilu, a nie wobec nazwy wpisanej przez użytkownika w oknie bezprzewodowym. Po trzecie, sieć musi być sklasyfikowana tak, jak wymaga zasada, co w praktyce oznacza sieć domenową lub prywatną, albo urządzenie, którego zasada przyszła przez zarządzanie. Usuń którąkolwiek z nich, a wyzwalacz zadziała.

To węższy test niż porównywanie publicznego adresu wyjściowego VPN i znacznie węższy niż zaufanie do SSID. Punkt dostępowy powtarzający nazwę firmy sam nie spełnia porównań sufiksu i profilu. Oznacza to także, że funkcja nie mówi nic o tym, czy sieć jest bezpieczna; mówi, czy to urządzenie uważa, że jest już w domu.

Przeczytaj bieżący stan, zanim zmienisz profil

Zacznij od tego, co Windows uważa teraz. Polecenie cmdlet profilu połączenia podaje nazwę sieci, interfejs i kategorię przypisaną przez Windows, czyli trzecie porównanie powyżej. Następnie przeczytaj profil VPN i znajdź listę zaufanych sufiksów, używając pełnego zrzutu właściwości zamiast zgadywania ich nazw:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Jeśli ten zrzut nie pokazuje zaufanego sufiksu w Twojej kompilacji, wróć do XML profilu, który jest kopią autorytatywną, gdy powierzchnia właściwości różni się między wersjami. Odczytaj XML z zasady zarządzania lub z magazynu profili wszystkich użytkowników i porównaj jego wpisy sufiksu z sufiksem adaptera podanym powyżej. Zapisz obie wartości, zanim dotkniesz którejkolwiek.

Przetestuj granicę w obu kierunkach

Przetestuj na docelowym połączeniu firmowym i na jednej innej zatwierdzonej sieci, i zapisz, czy tunel się podniósł. Następnie przetestuj to samo urządzenie po opuszczeniu sieci. Laptop, który wyzwala się w domu i jest wstrzymywany w biurze, zachowuje się zgodnie z projektem, a ten, który nigdzie się nie wyzwala, ma inną usterkę. Sprawdź, czy zasoby za tunelem są osiągalne, gdy się wyzwoli, bo uruchomiony tunel nie jest dowodem działającej ścieżki.

Nie dodawaj szerokiego sufiksu tylko po to, by zniknęło powiadomienie. Sufiks występujący w wielu sieciach uczy klienta wstrzymywania tunelu niemal wszędzie, a obciążenie wsparcia, które potem następuje, jest gorsze niż powiadomienie. Zmieniaj kryteria przez właściciela profilu, którym w zarządzanym parku jest administrator MDM, a nie osoba przy laptopie.

Zachowaj obie sieci testowe w zapisie razem z wynikiem. Granica, której nigdy nie przetestowano, jest tylko twierdzeniem.

Oddziel wstrzymywanie od blokowania

Nieuruchomiony tunel nie jest zablokowanym połączeniem. Wykrywanie zaufanych sieci steruje automatycznym wyzwalaniem, a filtrowanie ruchu i zachowanie kill-switcha to osobne ustawienia zasady z własnymi trybami awarii. Urządzenie w zaufanej sieci może legalnie wysyłać ruch poza tunelem, a nazywanie tego wyciekiem bez czytania zasady myli dwa projekty. Sprawdź reguły ruchu profilu, zanim obwinisz wykrywanie o wyciek.

Ta sama różnica wyjaśnia odwrotną skargę. Użytkownicy, którzy zgłaszają, że VPN zatrzymał się losowo, zwykle opisują zmianę sieci, która spełniła kryteria, a nie awarię usługi. Dopasowany sufiks i kategoria sieci to dowody, które należy zebrać, i oba pojawiają się w powyższym wyniku.

Zbierz te dowody, zanim zmienisz zasadę. Przełącznik, który ukrywa objaw, ukrywa też przyczynę.

Zapisz, na czym opierała się decyzja

Wpisz dopasowany sufiks, nazwę profilu połączenia i kategorię sieci do notatek wdrożeniowych dla każdej lokalizacji. Gdy tunel się nie podnosi, ten zapis zamienia zagadkę w porównanie: albo zmieniła się jedna z trzech wartości, albo zasada. Daje też kolejnemu inżynierowi sposób potwierdzenia projektu zamiast wyłączania wykrywania, by zamknąć zgłoszenie.

Przeglądaj listę sufiksów, gdy lokalizacja zostanie przemianowana lub domena scalona, bo nieaktualny wpis nadal po cichu wstrzymuje tunel. Dokumentacja Microsoftu dotycząca wykrywania zaufanych sieci wymienia elementy profilu i wymagania wstępne wdrożenia, i to jest dokument, który się cytuje, gdy ktoś proponuje poszerzenie listy.