Varför användare stänger av Always On och profilen håller det avstängt

En användare tar bort bocken för Anslut automatiskt, och profilen slutar ansluta. Månader senare levererar distributionsteamet en uppdaterad profil med samma namn, förväntar sig att utlösaren kommer tillbaka, och det gör den inte. Orsaken är att valet aldrig bara låg i profilen: Windows registrerade användarens beslut på det profilnamnet i sitt eget tillstånd, och en ominstallation raderar det inte. Profilfilen är bara halva konfigurationen.

Vad kryssrutan faktiskt skriver

Att ta bort alternativet för automatisk anslutning är ett beslut per enhet som lagras utanför profilens XML. Microsoft dokumenterar det som en lista över profilnamn vars automatiska utlösare är inaktiverad, och därför överlever inställningen att profilen tas bort och läggs till igen.

Den designen är vettig ur användarens perspektiv. Någon på en datamätad anslutning som stänger av automatisk anslutning förväntar sig inte att nästa principuppdatering slår på den igen i tysthet.

Det betyder också att profilnamnet är en identitet, inte en etikett. Två profiler med samma namn är samma post för den listan, och ett namnbyte skapar en ny identitet helt utan sparad inställning.

Varför en ominstallation av profilen inte återställer den

Att ta bort en VPN-anslutning och lägga tillbaka den från en uppdaterad fil tar bort och återskapar profilobjektet. Det tar inte bort registreringen av användarens beslut, eftersom den registreringen är nycklad på namn och inte på profilens interna identifierare.

Så uppdateringen kommer, profilen finns och är korrekt konfigurerad, och utlösaren utlöses fortfarande inte. Inget i profilen förklarar det, och därför eskaleras detta som en trasig distribution.

Samma beteende kan användas medvetet: håll profilnamnet stabilt när uppdateringen ska bevara samma anslutning, och ändra det bara när du vill ha en ren start. Att byta namn för att kringgå en sparad inställning fungerar, och det lämnar också den gamla posten kvar, så enheten samlar namn som inte längre motsvarar något.

Bestäm vilket av de två du vill ha innan du rör XML-filen, eftersom namnet är strömbrytaren.

En aktiv profil, flera kvalificerade

Windows tillämpar automatiska utlösare på en begränsad uppsättning profiler, och flera kvalificerade profiler gör inte att alla ansluter som konkurrerande standardvärden. En är aktiv, och de andra väntar.

Det spelar roll när en enhet tar emot både en profil i användaromfång och en i enhetsomfång med liknande namn. De är inte samma anslutning, och den som ansluter automatiskt är den som urvalsreglerna valde, inte nödvändigtvis den du testade. Ett test som gick igenom på den andra profilen bevisar inget om utlösaren. Anteckna vilken profil som svarade innan du ändrar något.

Läs det sparade tillståndet före en uppdatering

Innan du levererar någon profiländring, titta på vad enheten har nu: anslutningsobjektet, dess status och den sparade listan över inaktiverade automatiska utlösare.

De här kommandona listar VPN-anslutningarna och söker i registret efter det dokumenterade värdet:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

En post som matchar profilen du ska distribuera säger att användarens val redan är registrerat. Det är inte ett fel som ska repareras i tysthet; det är tillståndet som din policy måste ta hänsyn till.

Bestäm vilken policy du vill ha

Det finns två försvarbara policyer och en dålig vana. Den första respekterar användarens avsteg tills användaren ändrar det, och dokumenterar att utlösaren är vägledande på hanterade enheter. Den andra behandlar automatisk anslutning som ett efterlevnadskrav, och då bör avsteget inte erbjudas alls.

Den dåliga vanan är att skriva över orelaterat tillstånd för att tvinga tillbaka utlösaren, vilket fungerar till nästa uppdatering och lämnar enheten med inställningar som ingen kan förklara.

Skriv ner valet där profilen underhålls, tillsammans med de fyra övergångarna som är värda att granska: första etableringen, en normal utlösare, en tillåten användarändring och en uppdatering till samma namn. Automatisering, routingomfång och verkställighet av frånkopplat tillstånd är separata kontroller, och etiketten Always On är ingen garanti för någon av dem.