Always On VPN neden ofis ağında tetiklenmeyi bırakır

Dizüstü bilgisayar ofisin Wi-Fi ağına katılır ve evden bağlanan Always On profili kapalı kalır. Olay günlüğünde bu bir hata olarak adlandırılmaz, çünkü istemci açısından ağ güvenilirdir ve tünele gerek yoktur. Bu kararı güvenilir ağ algılama özelliği verir ve tanıdık bir SSID tanımak yerine belirli değerleri karşılaştırır. Karar yanlış olduğunda hangi karşılaştırmanın geçtiğini görmeniz gerekir.

Tetikleyici aslında neyi karşılaştırır

İstemci bir ağı güvenilir saymadan önce üç şeyin uyuşması gerekir. Birincisi, Windows'un fiziksel bağdaştırıcı için kaydettiği bağlantıya özgü DNS sonekinin profildeki sonek listesinde bulunması gerekir. İkincisi, Windows'un o ağ için tuttuğu bağlantı profili ilkenin beklediği profil olmalıdır, çünkü eşleşme o profil üzerinden yapılır, kullanıcının kablosuz iletişim penceresine yazdığı ad üzerinden değil. Üçüncüsü, ağ, ilkenin gerektirdiği şekilde sınıflandırılmalıdır, bu da pratikte etki alanı veya özel bir ağ ya da ilkesi yönetim yoluyla gelen bir cihaz anlamına gelir. Herhangi birini çıkarın ve tetikleyici devreye girer.

Bu, VPN'in genel çıkış adresini karşılaştırmaktan daha dar bir testtir ve bir SSID'ye güvenmekten çok daha dardır. Kurumsal adı yineleyen bir erişim noktası, sonek ve profil karşılaştırmalarını tek başına karşılamaz. Bu aynı zamanda özelliğin bir ağın güvenli olup olmadığı hakkında hiçbir şey söylemediği anlamına gelir; bu cihazın kendini zaten evde sayıp saymadığını söyler.

Profili değiştirmeden önce mevcut durumu okuyun

Windows'un şu anda neye inandığıyla başlayın. Bağlantı profili cmdlet'i ağ adını, arabirimi ve Windows'un atadığı kategoriyi bildirir; bu, yukarıdaki üçüncü karşılaştırmadır. Ardından VPN profilini okuyun ve güvenilir soneklerin listesini arayın; özellik adlarını tahmin etmek yerine tam özellik dökümünü kullanın:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Bu döküm sürümünüzde güvenilir soneki göstermiyorsa, profilin XML'ine dönün; sürümler arasında özellik yüzeyi farklı olduğunda yetkili kopya odur. XML'i yönetim ilkesinden veya tüm kullanıcıların profil deposundan okuyun ve sonek girdilerini yukarıda bildirilen bağdaştırıcı sonekiyle karşılaştırın. Herhangi birine dokunmadan önce iki değeri de kaydedin.

Sınırı iki yönde de test edin

Amaçlanan kurumsal bağlantıda ve onaylanmış başka bir ağda test edin ve tünelin açılıp açılmadığını yazın. Ardından aynı cihazı ağdan ayrıldıktan sonra test edin. Evde tetiklenen ve ofiste bastırılan dizüstü tasarlandığı gibi davranır, hiçbir yerde tetiklenmeyen cihazın ise başka bir arızası vardır. Tetiklendiğinde tünelin arkasındaki kaynaklara erişilebildiğini doğrulayın, çünkü başlatılmış bir tünel çalışan bir yolun kanıtı değildir.

Yalnızca bir bildirim kaybolsun diye geniş bir sonek eklemeyin. Birçok ağda görünen sonek, istemciye tüneli neredeyse her yerde bastırmayı öğretir ve ardından gelen destek yükü bildirimden daha kötüdür. Ölçütleri profilin sahibi aracılığıyla değiştirin; yönetilen bir filoda bu kişi MDM yöneticisidir, dizüstünün başındaki kişi değildir.

İki test ağını da sonuçla birlikte kayıtta tutun. Hiç test edilmemiş bir sınır yalnızca bir iddiadır.

Bastırmayı engellemeden ayırın

Başlatılmamış bir tünel engellenmiş bağlantı değildir. Güvenilir ağ algılama otomatik tetiklemeyi denetler; trafik filtreleme ve kill-switch davranışı ise kendi arıza modlarına sahip ayrı ilke ayarlarıdır. Güvenilir ağdaki bir cihaz tünelin dışına meşru şekilde trafik gönderebilir ve bunu ilkeyi okumadan sızıntı diye adlandırmak iki tasarımı karıştırır. Sızıntı için algılamayı suçlamadan önce profilin trafik kurallarını denetleyin.

Aynı ayrım ters şikâyeti açıklar. VPN'in rastgele durduğunu bildiren kullanıcılar genellikle ölçütleri karşılayan bir ağ değişikliğini anlatır, hizmet arızasını değil. Eşleşen sonek ve ağ kategorisi toplanması gereken kanıtlardır ve ikisi de yukarıdaki çıktıda görünür.

İlkeyi değiştirmeden önce bu kanıtları toplayın. Belirtiyi saklayan anahtar nedeni de saklar.

Kararın neye dayandığını kaydedin

Eşleşen soneki, bağlantı profilinin adını ve ağ kategorisini her sahanın dağıtım notlarına yazın. Tünel açılmadığında bu kayıt bir gizemi karşılaştırmaya dönüştürür: ya üç değerden biri değişti ya da ilke değişti. Ayrıca bir sonraki mühendise, kaydı kapatmak için algılamayı devre dışı bırakmak yerine tasarımı doğrulama yolu verir.

Bir saha yeniden adlandırıldığında veya bir etki alanı birleştirildiğinde sonek listesini gözden geçirin, çünkü eski bir girdi tüneli sessizce bastırmaya devam eder. Microsoft'un güvenilir ağ algılama başvurusu profil öğelerini ve dağıtım ön koşullarını listeler ve biri listeyi genişletmeyi önerdiğinde alıntılanacak belge odur.