De ce Always On VPN nu mai pornește pe rețeaua biroului

Laptopul se alătură rețelei Wi-Fi a biroului, iar profilul Always On care se conecta de acasă rămâne oprit. Nimic din jurnalul de evenimente nu numește asta o eroare, pentru că din perspectiva clientului rețeaua este de încredere și tunelul este inutil. Detectarea rețelei de încredere este funcția care ia această decizie și compară valori concrete în loc să recunoască un SSID familiar. Când decizia este greșită, trebuie văzut care comparație a trecut.

Ce compară de fapt declanșatorul

Trei lucruri trebuie să coincidă înainte ca clientul să trateze o rețea ca fiind de încredere. În primul rând, sufixul DNS specific conexiunii pe care Windows îl înregistrează pentru adaptorul fizic trebuie să apară în lista de sufixe din profil. În al doilea rând, profilul de conexiune pe care Windows îl păstrează pentru acea rețea trebuie să fie cel așteptat de politică, pentru că potrivirea se face cu acel profil, nu cu un nume tastat de utilizator într-o fereastră wireless. În al treilea rând, rețeaua trebuie clasificată așa cum cere politica, ceea ce în practică înseamnă o rețea de domeniu sau privată, ori un dispozitiv a cărui politică a venit prin gestionare. Eliminați oricare dintre ele și declanșatorul funcționează.

Este un test mai îngust decât compararea adresei publice de ieșire a VPN-ului și mult mai îngust decât încrederea într-un SSID. Un punct de acces care repetă numele companiei nu satisface singur comparațiile de sufix și de profil. Înseamnă și că funcția nu spune nimic despre siguranța rețelei; spune dacă acest dispozitiv crede că este deja acasă.

Citiți starea actuală înainte de a schimba profilul

Începeți cu ce crede Windows acum. Cmdlet-ul profilului de conexiune raportează numele rețelei, interfața și categoria atribuită de Windows, adică a treia comparație de mai sus. Apoi citiți profilul VPN și căutați lista de sufixe de încredere, folosind o descărcare completă a proprietăților în loc să ghiciți numele lor:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Dacă acea descărcare nu expune sufixul de încredere în build-ul dumneavoastră, reveniți la XML-ul profilului, care este copia autoritativă când suprafața proprietăților diferă între versiuni. Citiți XML-ul din politica de gestionare sau din depozitul de profile pentru toți utilizatorii și comparați intrările de sufix cu sufixul adaptorului raportat mai sus. Notați ambele valori înainte de a atinge vreuna.

Testați granița în ambele direcții

Testați pe conexiunea corporate prevăzută și pe o altă rețea aprobată, și notați dacă tunelul a urcat. Apoi testați același dispozitiv după plecare. Un laptop care pornește acasă și este suprimat la birou se comportă conform proiectării, în timp ce unul care nu pornește nicăieri are alt defect. Verificați dacă resursele din spatele tunelului sunt accesibile când pornește, pentru că un tunel pornit nu este dovada unei căi funcționale.

Nu adăugați un sufix larg doar ca să dispară o notificare. Un sufix care apare pe multe rețele învață clientul să suprime tunelul aproape peste tot, iar încărcarea de suport care urmează este mai rea decât notificarea. Schimbați criteriile prin proprietarul profilului, care într-o flotă administrată este administratorul MDM, nu persoana de la laptop.

Păstrați ambele rețele de test în registru alături de rezultat. O graniță care nu a fost testată niciodată este doar o afirmație.

Separați suprimarea de blocare

Un tunel care nu a pornit nu este o conexiune blocată. Detectarea rețelei de încredere controlează declanșarea automată, în timp ce filtrarea traficului și comportamentul kill-switch sunt setări de politică separate, cu moduri proprii de eșec. Un dispozitiv dintr-o rețea de încredere poate trimite legitim trafic în afara tunelului, iar a numi asta scurgere fără a citi politica înseamnă a confunda două proiecte. Verificați regulile de trafic ale profilului înainte de a da vina pe detectare pentru o scurgere.

Aceeași distincție explică reclamația inversă. Utilizatorii care raportează că VPN-ul s-a oprit aleatoriu descriu de obicei o schimbare de rețea care a îndeplinit criteriile, nu o defecțiune a serviciului. Sufixul potrivit și categoria rețelei sunt dovezile de colectat, și ambele apar în ieșirea de mai sus.

Colectați aceste dovezi înainte de a schimba politica. Un comutator care ascunde simptomul ascunde și cauza.

Notați pe ce s-a bazat decizia

Scrieți sufixul potrivit, numele profilului de conexiune și categoria rețelei în notele de implementare pentru fiecare locație. Când tunelul nu urcă, acea înregistrare transformă un mister într-o comparație: fie s-a schimbat una dintre cele trei valori, fie politica. De asemenea, îi dă următorului inginer o modalitate de a confirma proiectarea în loc să dezactiveze detectarea pentru a închide tichetul.

Revizuiți lista de sufixe când o locație este redenumită sau un domeniu este consolidat, pentru că o intrare învechită continuă să suprime tunelul în tăcere. Referința Microsoft despre detectarea rețelei de încredere enumeră elementele profilului și cerințele prealabile de implementare, și este documentul de citat când cineva propune lărgirea listei.