Зашто Always On VPN престаје да се активира на канцеларијској мрежи

Лаптоп се придружује канцеларијском Wi-Fi-ју, а профил Always On који се повезивао од куће остаје искључен. Ништа у дневнику догађаја то не назива грешком, јер је са становишта клијента мрежа поуздана и тунел није потребан. Одлуку доноси функција откривања поуздане мреже и она пореди конкретне вредности уместо да препознаје познати SSID. Када је одлука погрешна, потребно је видети које поређење је прошло.

Шта окидач заправо пореди

Три ствари морају да се поклопе пре него што клијент мрежу сматра поузданом. Прво, DNS суфикс специфичан за везу који Windows бележи за физички адаптер мора да се појави на листи суфикса у профилу. Друго, профил везе који Windows чува за ту мрежу мора да буде онај који политика очекује, јер се поклапање врши са тим профилом, а не са именом које је корисник откуцао у бежичном дијалогу. Треће, мрежа мора да буде класификована како политика захтева, што у пракси значи доменску или приватну мрежу, или уређај чија је политика стигла кроз управљање. Уклоните било коју од њих и окидач се активира.

Ово је ужи тест од поређења јавне излазне адресе VPN-а и много ужи од поверења у SSID. Приступна тачка која понавља корпоративно име сама по себи не задовољава поређења суфикса и профила. То такође значи да функција ништа не говори о томе да ли је мрежа безбедна; говори да ли овај уређај сматра да је већ код куће.

Прочитајте тренутно стање пре него што промените профил

Почните од онога што Windows тренутно сматра. Cmdlet профила везе извештава назив мреже, интерфејс и категорију коју је Windows доделио, а то је треће поређење горе. Затим прочитајте профил VPN-а и пронађите листу поузданих суфикса, користећи потпуни испис својстава уместо да погађате њихова имена:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Ако тај испис не открива поуздани суфикс у вашој верзији, вратите се на XML профила, који је меродавна копија када се скуп својстава разликује између верзија. Прочитајте XML из политике управљања или из складишта профила за све кориснике и упоредите његове уносе суфикса са суфиксом адаптера наведеним горе. Запишите обе вредности пре него што дотакнете било коју.

Тестирајте границу у оба смера

Тестирајте на предвиђеном корпоративном прикључењу и на једној другој одобреној мрежи и запишите да ли се тунел подигао. Затим тестирајте исти уређај након одласка. Лаптоп који се активира код куће и потискује у канцеларији понаша се како је пројектован, док онај који се нигде не активира има другу неисправност. Проверите да ли су ресурси иза тунела доступни када се активира, јер покренут тунел није доказ радне путање.

Не додајте широки суфикс само да би обавештење нестало. Суфикс који се појављује на многим мрежама учи клијента да потискује тунел готово свуда, а оптерећење подршке које следи горе је од обавештења. Мењајте критеријуме преко власника профила, који је у управљаном парку MDM администратор, а не особа за лаптопом.

Држите обе тестне мреже у запису уз резултат. Граница која никада није тестирана је само тврдња.

Одвојите потискивање од блокирања

Тунел који није покренут није блокирана веза. Откривање поуздане мреже контролише аутоматски окидач, док су филтрирање саобраћаја и понашање kill-switch-а одвојена подешавања политике са сопственим режимима отказа. Уређај на поузданој мрежи може законито да шаље саобраћај изван тунела, а назвати то цурењем без читања политике значи помешати два пројекта. Проверите правила саобраћаја профила пре него што за цурење окривите откривање.

Иста разлика објашњава обрнуту жалбу. Корисници који пријављују да се VPN насумично зауставио обично описују промену мреже која је задовољила критеријуме, а не отказ услуге. Поклопљени суфикс и категорија мреже су докази које треба прикупити и обоје се појављује у излазу горе.

Прикупите те доказе пре него што промените политику. Прекидач који скрива симптом скрива и узрок.

Запишите на чему се одлука заснивала

Упишите поклопљени суфикс, назив профила везе и категорију мреже у белешке о распоређивању за сваку локацију. Када се тунел не подигне, тај запис претвара мистерију у поређење: или се променила једна од три вредности, или политика. Такође даје следећем инжењеру начин да потврди пројекат уместо да искључи откривање да би затворио тикет.

Прегледајте листу суфикса када се локација преименује или домен консолидује, јер застарели унос наставља тихо да потискује тунел. Референца Microsoft-а о откривању поуздане мреже наводи елементе профила и предуслове за распоређивање, и то је документ који се цитира када неко предложи проширење листе.