Чому користувачі вимикають Always On, а профіль залишає його вимкненим

Користувач знімає позначку «Підключатися автоматично», і профіль перестає підключатися. Через місяці команда розгортання надсилає оновлений профіль із тією самою назвою, очікує, що тригер повернеться, але він не повертається. Причина в тому, що вибір ніколи не був лише в профілі: Windows записав рішення користувача для цієї назви профілю у власному стані, і перевстановлення його не видаляє. Файл профілю — лише половина конфігурації.

Що насправді записує прапорець

Зняття параметра автоматичного підключення — це рішення для кожного пристрою, що зберігається поза XML профілю. Microsoft документує його як список назв профілів, у яких автоматичний тригер вимкнено, тому налаштування переживає видалення й повторне додавання профілю.

Таке рішення має сенс з погляду користувача. Той, хто на лімітному підключенні вимикає автоматичне підключення, не очікує, що наступне оновлення політики мовчки ввімкне його знову.

Це також означає, що назва профілю — це ідентичність, а не мітка. Два профілі з однаковою назвою для цього списку — той самий запис, а перейменування створює нову ідентичність зовсім без збереженої переваги.

Чому перевстановлення профілю його не скидає

Видалення VPN-підключення й повторне додавання з оновленого файлу видаляє й заново створює об'єкт профілю. Це не видаляє запис про рішення користувача, бо цей запис прив'язаний до назви, а не до внутрішнього ідентифікатора профілю.

Отже, оновлення надходить, профіль є й налаштований правильно, а тригер усе одно не спрацьовує. Ніщо в профілі цього не пояснює, тому це ескалюють як зламане розгортання.

Ту саму поведінку можна використовувати навмисно: тримайте назву профілю стабільною, коли оновлення має зберегти те саме підключення, і змінюйте її лише тоді, коли потрібен новий старт. Перейменування для обходу збереженої переваги працює, але залишає й старий запис, тож пристрій накопичує назви, які вже нічому не відповідають.

Вирішіть, який із варіантів вам потрібен, перш ніж торкатися XML, бо назва — це і є перемикач.

Один активний профіль, кілька придатних

Windows застосовує автоматичні тригери до обмеженого набору профілів, і наявність кількох придатних профілів не змушує їх усі підключатися як конкуруючі значення за замовчуванням. Один активний, решта чекають.

Це важливо, коли пристрій отримує і профіль в області користувача, і профіль в області пристрою зі схожими назвами. Це не те саме підключення, і автоматично підключається той, який обрали правила вибору, а не обов'язково той, який ви тестували. Тест, що пройшов на іншому профілі, нічого не доводить про тригер. Запишіть, який профіль відповів, перш ніж щось змінювати.

Прочитайте збережений стан перед оновленням

Перш ніж надсилати будь-яку зміну профілю, подивіться, що пристрій тримає зараз: об'єкт підключення, його стан і збережений список вимкнених автоматичних тригерів.

Ці команди перелічують VPN-підключення й шукають у реєстрі задокументоване значення:

Get-VpnConnection | Select-Object Name,ConnectionStatus,SplitTunneling
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Network /s /f AutoTriggerDisabledProfilesList

Запис, що збігається з профілем, який ви збираєтеся розгорнути, означає, що вибір користувача вже зафіксовано. Це не дефект, який треба тихо виправити; це стан, який ваша політика мусить враховувати.

Вирішіть, яка політика вам потрібна

Є дві політики, які можна захистити, і одна погана звичка. Перша поважає відмову користувача, доки користувач її не змінить, і документує, що на керованих пристроях тригер має рекомендаційний характер. Друга розглядає автоматичне підключення як вимогу відповідності, і тоді відмову взагалі не слід пропонувати.

Погана звичка — переписувати не пов'язаний стан, щоб примусово повернути тригер, що працює до наступного оновлення й залишає пристрій із налаштуваннями, які ніхто не може пояснити.

Запишіть вибір там, де ведеться профіль, разом із чотирма переходами, які варто переглянути: перше розгортання, звичайний тригер, дозволена зміна користувача й оновлення на ту саму назву. Автоматизація, область маршрутизації та примусове застосування відключеного стану — окремі засоби контролю, і мітка Always On не гарантує жодного з них.