Prečo sa Always On VPN prestáva spúšťať v kancelárskej sieti

Notebook sa pripojí k firemnému Wi-Fi a profil Always On, ktorý sa pripájal z domu, zostane vypnutý. Nič v protokole udalostí to nenazýva zlyhaním, pretože z pohľadu klienta je sieť dôveryhodná a tunel nie je potrebný. Rozpoznanie dôveryhodnej siete je funkcia, ktorá toto rozhodnutie robí, a porovnáva konkrétne hodnoty namiesto toho, aby rozpoznala známe SSID. Keď je rozhodnutie nesprávne, musíte vidieť, ktoré porovnanie prešlo.

Čo vlastne spúšťač porovnáva

Tri veci sa musia zhodovať, kým klient považuje sieť za dôveryhodnú. Po prvé, prípona DNS špecifická pre pripojenie, ktorú Windows zaznamenáva pre fyzický adaptér, musí byť v zozname prípon v profile. Po druhé, profil pripojenia, ktorý Windows pre danú sieť vedie, musí byť ten, ktorý očakáva politika, pretože zhoda sa porovnáva s týmto profilom, nie s menom, ktoré používateľ zadal do bezdrôtového dialógu. Po tretie, sieť musí byť klasifikovaná tak, ako to vyžaduje politika, čo v praxi znamená doménovú alebo privátnu sieť, prípadne zariadenie, ktorého politika prišla cez správu. Vyberte ktorúkoľvek z nich a spúšťač sa aktivuje.

Je to užší test ako porovnávanie verejnej výstupnej adresy VPN a oveľa užší ako dôvera v SSID. Prístupový bod, ktorý opakuje firemný názov, sám o sebe nespĺňa porovnania prípony a profilu. Znamená to tiež, že funkcia nič nehovorí o tom, či je sieť bezpečná; hovorí, či toto zariadenie verí, že už je doma.

Prečítajte si aktuálny stav, kým zmeníte profil

Začnite tým, čo Windows práve teraz považuje za pravdu. Rutina cmdletu profilu pripojenia hlási názov siete, rozhranie a kategóriu, ktorú Windows priradil, čo je tretie porovnanie vyššie. Potom prečítajte profil VPN a nájdite zoznam dôveryhodných prípon, s úplným výpisom vlastností namiesto hádania ich názvov:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Ak tento výpis vo vašej zostave dôveryhodnú príponu neodhalí, vráťte sa k XML profilu, ktoré je autoritatívnou kópiou, keď sa sada vlastností medzi verziami líši. Prečítajte XML zo zásady správy alebo z úložiska profilov pre všetkých používateľov a porovnajte jeho položky prípony s príponou adaptéra uvedenou vyššie. Zapíšte obe hodnoty, kým sa dotknete ktorejkoľvek z nich.

Otestujte hranicu v oboch smeroch

Otestujte to na zamýšľanom firemnom pripojení a na jednej ďalšej schválenej sieti a zapíšte, či sa tunel zdvihol. Potom otestujte to isté zariadenie po odchode. Notebook, ktorý sa doma spustí a v kancelárii potlačí, sa správa podľa návrhu, zatiaľ čo ten, ktorý sa nikde nespustí, má inú závadu. Overte, či sú zdroje za tunelom pri spustení dostupné, pretože spustený tunel nie je dôkazom funkčnej cesty.

Nepridávajte širokú príponu len preto, aby zmizlo oznámenie. Prípona, ktorá sa objavuje v mnohých sieťach, učí klienta potláčať tunel takmer všade a záťaž podpory, ktorá nasleduje, je horšia ako oznámenie. Meňte kritériá prostredníctvom vlastníka profilu, ktorým je v spravovanej flotile správca MDM, nie osoba pri notebooku.

Uchovajte obe testovacie siete v zázname popri výsledku. Hranica, ktorá nebola nikdy otestovaná, je len tvrdenie.

Oddeľte potlačenie od blokovania

Tunel, ktorý sa nespustil, nie je zablokované pripojenie. Rozpoznanie dôveryhodnej siete riadi automatické spustenie, zatiaľ čo filtrovanie prevádzky a správanie kill-switch sú samostatné nastavenia politiky s vlastnými režimami zlyhania. Zariadenie v dôveryhodnej sieti môže oprávnene posielať prevádzku mimo tunela a nazvať to únikom bez prečítania politiky znamená pliesť dva návrhy. Pred obvinením rozpoznania z úniku skontrolujte pravidlá prevádzky profilu.

Rovnaké rozlíšenie vysvetľuje opačnú sťažnosť. Používatelia, ktorí hlásia, že sa VPN náhodne zastavila, zvyčajne opisujú zmenu siete, ktorá splnila kritériá, nie zlyhanie služby. Zhodná prípona a kategória siete sú dôkazy, ktoré treba zhromaždiť, a oboje sa objavuje vo výstupe vyššie.

Zhromaždite tieto dôkazy, kým zmeníte politiku. Prepínač, ktorý skrýva príznak, skrýva aj príčinu.

Zapíšte, na čom bolo rozhodnutie založené

Zapíšte zhodnú príponu, názov profilu pripojenia a kategóriu siete do poznámok k nasadeniu pre každú lokalitu. Keď sa tunel nezdvihne, tento záznam premení záhadu na porovnanie: buď sa zmenila jedna z troch hodnôt, alebo politika. Tiež dáva ďalšiemu inžinierovi spôsob, ako potvrdiť návrh namiesto vypnutia rozpoznania pre uzavretie tiketu.

Zoznam prípon prechádzajte, keď sa lokalita premenuje alebo sa doména konsoliduje, pretože zastaraná položka potláča tunel naďalej ticho. Referenčná dokumentácia Microsoftu k rozpoznaniu dôveryhodnej siete uvádza prvky profilu a predpoklady nasadenia a je to dokument, ktorý treba citovať, keď niekto navrhne zoznam rozšíriť.