Почему Always On VPN перестаёт срабатывать в офисной сети

Ноутбук подключается к офисному Wi-Fi, а профиль Always On, который подключался из дома, остаётся выключенным. В журнале событий это не называется сбоем, потому что с точки зрения клиента сеть доверенная, а туннель не нужен. Решение принимает функция обнаружения доверенной сети, и она сравнивает конкретные значения, а не распознаёт знакомый SSID. Когда решение ошибочно, нужно увидеть, какое сравнение прошло.

Что на самом деле сравнивает триггер

Три вещи должны совпасть, прежде чем клиент сочтёт сеть доверенной. Во-первых, DNS-суффикс, специфичный для подключения, который Windows записывает для физического адаптера, должен присутствовать в списке суффиксов профиля. Во-вторых, профиль подключения, который Windows хранит для этой сети, должен быть тем, что ожидает политика, потому что сопоставление идёт с этим профилем, а не с именем, которое пользователь ввёл в беспроводном диалоге. В-третьих, сеть должна быть классифицирована так, как требует политика, то есть на практике это доменная или частная сеть либо устройство, политика которого пришла через управление. Уберите любое из них, и триггер сработает.

Это более узкая проверка, чем сравнение публичного адреса выхода VPN, и гораздо более узкая, чем доверие к SSID. Точка доступа, повторяющая корпоративное имя, сама по себе не удовлетворяет сравнениям суффикса и профиля. Это также означает, что функция ничего не говорит о безопасности сети; она говорит, считает ли это устройство, что уже находится дома.

Прочитайте текущее состояние, прежде чем менять профиль

Начните с того, что Windows считает сейчас. Командлет профиля подключения сообщает имя сети, интерфейс и категорию, назначенную Windows, а это и есть третье сравнение выше. Затем прочитайте профиль VPN и найдите список доверенных суффиксов, используя полный дамп свойств вместо угадывания их имён:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Если этот дамп не показывает доверенный суффикс в вашей сборке, вернитесь к XML профиля, который является авторитетной копией, когда набор свойств различается между версиями. Прочитайте XML из политики управления или из хранилища профилей всех пользователей и сравните его записи суффикса с суффиксом адаптера, указанным выше. Запишите оба значения, прежде чем трогать любое из них.

Проверьте границу в обе стороны

Проверьте на предполагаемом корпоративном подключении и ещё в одной одобренной сети и запишите, поднялся ли туннель. Затем проверьте то же устройство после выхода. Ноутбук, который срабатывает дома и подавляется в офисе, ведёт себя как задумано, а тот, что не срабатывает нигде, имеет другую неисправность. Проверьте, доступны ли ресурсы за туннелем при срабатывании, потому что запущенный туннель не доказывает работоспособность маршрута.

Не добавляйте широкий суффикс только ради того, чтобы исчезло уведомление. Суффикс, встречающийся во многих сетях, учит клиента подавлять туннель почти везде, и последующая нагрузка на поддержку хуже уведомления. Меняйте критерии через владельца профиля, которым в управляемом парке является администратор MDM, а не человек за ноутбуком.

Храните обе тестовые сети в записи вместе с результатом. Граница, которую никогда не проверяли, — это лишь утверждение.

Отделите подавление от блокировки

Незапущенный туннель — это не заблокированное подключение. Обнаружение доверенной сети управляет автозапуском, тогда как фильтрация трафика и поведение kill-switch — отдельные параметры политики со своими режимами отказа. Устройство в доверенной сети может законно отправлять трафик вне туннеля, и называть это утечкой, не прочитав политику, значит путать два решения. Проверьте правила трафика профиля, прежде чем винить обнаружение в утечке.

То же различие объясняет обратную жалобу. Пользователи, сообщающие, что VPN остановился случайно, обычно описывают изменение сети, удовлетворившее критериям, а не отказ службы. Совпавший суффикс и категория сети — это доказательства, которые нужно собрать, и оба видны в выводе выше.

Соберите эти доказательства, прежде чем менять политику. Переключатель, скрывающий симптом, скрывает и причину.

Запишите, на чём основывалось решение

Запишите совпавший суффикс, имя профиля подключения и категорию сети в заметки о развёртывании для каждой площадки. Когда туннель не поднимается, эта запись превращает загадку в сравнение: либо изменилось одно из трёх значений, либо политика. Она также даёт следующему инженеру способ подтвердить решение вместо отключения обнаружения ради закрытия заявки.

Пересматривайте список суффиксов при переименовании площадки или объединении домена, потому что устаревшая запись продолжает тихо подавлять туннель. Справочник Microsoft по обнаружению доверенной сети перечисляет элементы профиля и предварительные условия развёртывания, и это документ, на который ссылаются, когда кто-то предлагает расширить список.