Por que os usuários desativam o Always On e o perfil o mantém desativado

Um usuário desmarca Conectar automaticamente, e o perfil para de conectar. Meses depois, a equipe de implantação envia um perfil atualizado com o mesmo nome, espera que o gatilho volte, e ele não volta. A razão é que a escolha nunca esteve apenas no perfil: o Windows registrou a decisão do usuário associada a esse nome de perfil no próprio estado, e uma reinstalação não a apaga. O arquivo do perfil é apenas metade da configuração.

O que a caixa de seleção realmente grava

Desmarcar a opção de conexão automática é uma decisão por dispositivo armazenada fora do XML do perfil. A Microsoft a documenta como uma lista de nomes de perfil cujo gatilho automático está desabilitado, e é por isso que a configuração sobrevive à remoção e à readição do perfil.

Esse design faz sentido do ponto de vista do usuário. Quem está em uma conexão com limite de dados e desativa a conexão automática não espera que a próxima atualização de política a reative em silêncio.

Também significa que o nome do perfil é uma identidade, não um rótulo. Dois perfis com o mesmo nome são a mesma entrada para essa lista, e renomear cria uma nova identidade sem nenhuma preferência armazenada.

Por que reinstalar o perfil não o redefine

Excluir uma conexão VPN e adicioná-la novamente a partir de um arquivo atualizado remove e recria o objeto do perfil. Isso não remove o registro da decisão do usuário, porque esse registro é indexado pelo nome e não pelo identificador interno do perfil.

Então a atualização chega, o perfil está presente e configurado corretamente, e o gatilho continua sem disparar. Nada no perfil explica isso, e é por isso que o caso é escalado como uma implantação quebrada.

O mesmo comportamento pode ser usado de propósito: mantenha o nome do perfil estável quando a atualização deve preservar a mesma conexão, e altere-o apenas quando quiser um começo limpo. Renomear para escapar de uma preferência armazenada funciona, e também deixa a entrada antiga para trás, então o dispositivo acumula nomes que não correspondem mais a nada.

Decida qual das duas opções você quer antes de tocar no XML, porque o nome é o interruptor.

Um perfil ativo, vários elegíveis

O Windows aplica gatilhos automáticos a um conjunto limitado de perfis, e ter vários perfis elegíveis não faz todos se conectarem como padrões concorrentes. Um está ativo, e os outros esperam.

Isso importa quando um dispositivo recebe tanto um perfil de escopo de usuário quanto um de escopo de dispositivo com nomes semelhantes. Não são a mesma conexão, e o que se conecta automaticamente é o que as regras de seleção escolheram, não necessariamente o que você testou. Um teste aprovado no outro perfil não prova nada sobre o gatilho. Anote qual perfil respondeu antes de mudar qualquer coisa.

Leia o estado armazenado antes de uma atualização

Antes de enviar qualquer alteração de perfil, veja o que o dispositivo mantém agora: o objeto de conexão, seu status e a lista armazenada de gatilhos automáticos desabilitados.

Estes comandos listam as conexões VPN e procuram no registro o valor documentado:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

Uma entrada que corresponda ao perfil que você está prestes a implantar indica que a escolha do usuário já está registrada. Não é um defeito para corrigir em silêncio; é o estado que sua política precisa considerar.

Decida qual política você quer

Há duas políticas defensáveis e um mau hábito. A primeira respeita a recusa do usuário até que o usuário a altere, e documenta que o gatilho é orientativo em dispositivos gerenciados. A segunda trata a conexão automática como requisito de conformidade, e então a recusa não deveria ser oferecida de forma alguma.

O mau hábito é reescrever estado não relacionado para forçar o gatilho de volta, o que funciona até a próxima atualização e deixa o dispositivo com configurações que ninguém consegue explicar.

Anote a escolha onde o perfil é mantido, junto com as quatro transições que vale a pena revisar: o primeiro provisionamento, um gatilho normal, uma alteração permitida do usuário e uma atualização para o mesmo nome. Automação, escopo de roteamento e aplicação do estado desconectado são controles separados, e o rótulo Always On não é garantia de nenhum deles.