ทำไม Always On VPN จึงหยุดทริกเกอร์บนเครือข่ายออฟฟิศ

แล็ปท็อปเชื่อมต่อกับ Wi-Fi ของออฟฟิศ และโปรไฟล์ Always On ที่เคยเชื่อมต่อจากบ้านยังคงไม่ทำงาน ไม่มีสิ่งใดในบันทึกเหตุการณ์เรียกสิ่งนี้ว่าความล้มเหลว เพราะจากมุมมองของไคลเอนต์ เครือข่ายเป็นที่เชื่อถือได้และไม่จำเป็นต้องใช้ทันเนล การตรวจจับเครือข่ายที่เชื่อถือได้คือฟีเจอร์ที่ตัดสินใจเรื่องนี้ และเปรียบเทียบค่าเฉพาะเจาะจงแทนการจดจำ SSID ที่คุ้นเคย เมื่อการตัดสินใจผิด คุณต้องดูว่าการเปรียบเทียบใดผ่าน

ทริกเกอร์เปรียบเทียบอะไรจริง ๆ

ต้องมีสามสิ่งตรงกันก่อนที่ไคลเอนต์จะถือว่าเครือข่ายเป็นที่เชื่อถือได้ ข้อแรก คำต่อท้าย DNS เฉพาะการเชื่อมต่อที่ Windows บันทึกไว้สำหรับอะแดปเตอร์กายภาพต้องปรากฏในรายการคำต่อท้ายในโปรไฟล์ ข้อสอง โปรไฟล์การเชื่อมต่อที่ Windows เก็บไว้สำหรับเครือข่ายนั้นต้องเป็นโปรไฟล์ที่นโยบายคาดหวัง เพราะการจับคู่ทำกับโปรไฟล์นั้น ไม่ใช่กับชื่อที่ผู้ใช้พิมพ์ในไดอะล็อกไร้สาย ข้อสาม เครือข่ายต้องถูกจำแนกตามที่นโยบายกำหนด ซึ่งในทางปฏิบัติหมายถึงเครือข่ายโดเมนหรือเครือข่ายส่วนตัว หรืออุปกรณ์ที่นโยบายมาทางการจัดการ หากขาดข้อใดข้อหนึ่ง ทริกเกอร์ก็จะทำงาน

นี่เป็นการทดสอบที่แคบกว่าการเปรียบเทียบที่อยู่ขาออกสาธารณะของ VPN และแคบกว่าการเชื่อมั้น SSID มาก จุดเข้าถึงที่สะท้อนชื่อองค์กรเพียงอย่างเดียวไม่ทำให้การเปรียบเทียบคำต่อท้ายและโปรไฟล์ผ่าน ยังหมายความว่าฟีเจอร์นี้ไม่บอกอะไรเกี่ยวกับความปลอดภัยของเครือข่าย แต่บอกว่าอุปกรณ์นี้คิดว่าตนอยู่ที่บ้านแล้วหรือไม่

อ่านสถานะปัจจุบันก่อนเปลี่ยนโปรไฟล์

เริ่มจากสิ่งที่ Windows เชื่ออยู่ในขณะนี้ cmdlet ของโปรไฟล์การเชื่อมต่อรายงานชื่อเครือข่าย อินเทอร์เฟซ และหมวดหมู่ที่ Windows กำหนด ซึ่งเป็นการเปรียบเทียบข้อที่สามข้างต้น จากนั้นอ่านโปรไฟล์ VPN และค้นหารายการคำต่อท้ายที่เชื่อถือได้ โดยใช้การดัมพ์พร็อพเพอร์ตี้ทั้งหมดแทนการเดาชื่อพร็อพเพอร์ตี้

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

หากการดัมพ์นั้นไม่แสดงคำต่อท้ายที่เชื่อถือได้ในบิลด์ของคุณ ให้กลับไปที่ XML ของโปรไฟล์ ซึ่งเป็นสำเนาที่เชื่อถือได้เมื่อพื้นผิวพร็อพเพอร์ตี้ต่างกันระหว่างเวอร์ชัน อ่าน XML จากนโยบายการจัดการหรือจากที่เก็บโปรไฟล์ของผู้ใช้ทั้งหมด และเปรียบเทียบรายการคำต่อท้ายกับคำต่อท้ายของอะแดปเตอร์ที่รายงานข้างต้น บันทึกทั้งสองค่าก่อนแตะต้องค่าใดค่าหนึ่ง

ทดสอบขอบเขตในทั้งสองทิศทาง

ทดสอบบนการเชื่อมต่อองค์กรที่ตั้งใจไว้และบนอีกเครือข่ายที่ได้รับอนุมัติ และบันทึกว่าทันเนลขึ้นหรือไม่ จากนั้นทดสอบอุปกรณ์เดิมหลังออกจากเครือข่าย แล็ปท็อปที่ทริกเกอร์ที่บ้านและถูกระงับที่ออฟฟิศทำงานตามที่ออกแบบ ขณะที่เครื่องที่ไม่ทริกเกอร์ที่ใดเลยมีความผิดพลาดอีกอย่าง ตรวจสอบว่าทรัพยากรหลังทันเนลเข้าถึงได้เมื่อทริกเกอร์ เพราะทันเนลที่เริ่มแล้วไม่ใช่หลักฐานของเส้นทางที่ใช้งานได้

อย่าเพิ่มคำต่อท้ายแบบกว้างเพียงเพื่อให้การแจ้งเตือนหายไป คำต่อท้ายที่ปรากฏบนหลายเครือข่ายจะสอนให้ไคลเอนต์ระงับทันเนลเกือบทุกที่ และภาระการสนับสนุนที่ตามมาแย่กว่าการแจ้งเตือน เปลี่ยนเกณฑ์ผ่านเจ้าของโปรไฟล์ ซึ่งในฟลีตที่จัดการคือผู้ดูแล MDM ไม่ใช่คนที่นั่งอยู่หน้าแล็ปท็อป

เก็บเครือข่ายทดสอบทั้งสองไว้ในบันทึกพร้อมผลลัพธ์ ขอบเขตที่ไม่เคยถูกทดสอบเป็นเพียงข้อกล่าวอ้าง

แยกการระงับออกจากการบล็อก

ทันเนลที่ไม่ได้เริ่มไม่ใช่การเชื่อมต่อที่ถูกบล็อก การตรวจจับเครือข่ายที่เชื่อถือได้ควบคุมทริกเกอร์อัตโนมัติ ส่วนการกรองทราฟฟิกและพฤติกรรม kill-switch เป็นการตั้งค่านโยบายแยกต่างหากที่มีโหมดล้มเหลวของตัวเอง อุปกรณ์บนเครือข่ายที่เชื่อถือได้อาจส่งทราฟฟิกออกนอกทันเนลได้อย่างชอบธรรม และการเรียกสิ่งนั้นว่าการรั่วไหลโดยไม่อ่านนโยบายคือการสับสนสองการออกแบบ ตรวจสอบกฎทราฟฟิกของโปรไฟล์ก่อนโทษการตรวจจับว่าเป็นสาเหตุของการรั่วไหล

ความแตกต่างเดียวกันนี้อธิบายข้อร้องเรียนแบบตรงกันข้าม ผู้ใช้ที่รายงานว่า VPN หยุดเองโดยไม่ทราบสาเหตุมักอธิบายถึงการเปลี่ยนแปลงเครือข่ายที่ตรงตามเกณฑ์ ไม่ใช่ความล้มเหลวของบริการ คำต่อท้ายที่ตรงกันและหมวดหมู่เครือข่ายคือหลักฐานที่ต้องเก็บ และทั้งสองปรากฏในเอาต์พุตข้างต้น

เก็บหลักฐานนั้นก่อนเปลี่ยนนโยบาย สวิตช์ที่ซ่อนอาการก็ซ่อนสาเหตุด้วย

บันทึกว่าการตัดสินใจอ้างอิงจากอะไร

เขียนคำต่อท้ายที่ตรงกัน ชื่อโปรไฟล์การเชื่อมต่อ และหมวดหมู่เครือข่ายลงในบันทึกการติดตั้งใช้งานสำหรับแต่ละไซต์ เมื่อทันเนลไม่ขึ้น บันทึกนั้นเปลี่ยนความลึกลับให้เป็นการเปรียบเทียบ: ไม่ก็ค่าใดค่าหนึ่งในสามค่าเปลี่ยนไป หรือไม่ก็นโยบายเปลี่ยนไป นอกจากนี้ยังให้วิศวกรคนถัดไปมีวิธียืนยันการออกแบบแทนการปิดการตรวจจับเพื่อปิดตั๋ว

ทบทวนรายการคำต่อท้ายเมื่อไซต์ถูกเปลี่ยนชื่อหรือโดเมนถูกรวมเข้า เพราะรายการที่ล้าสมัยยังคงระงับทันเนลอย่างเงียบ ๆ เอกสารอ้างอิงของ Microsoft เกี่ยวกับการตรวจจับเครือข่ายที่เชื่อถือได้ แสดงรายการองค์ประกอบของโปรไฟล์และข้อกำหนดเบื้องต้นในการติดตั้งใช้งาน และเป็นเอกสารที่ควรอ้างเมื่อมีคนเสนอให้ขยายรายการ