Чому Always On VPN перестає спрацьовувати в офісній мережі

Ноутбук підключається до офісного Wi-Fi, а профіль Always On, який підключався з дому, залишається вимкненим. Ніщо в журналі подій не називає це збоєм, бо з погляду клієнта мережа є довіреною, а тунель не потрібен. Рішення ухвалює функція виявлення довіреної мережі, і вона порівнює конкретні значення, а не розпізнає знайомий SSID. Коли рішення хибне, потрібно побачити, яке порівняння пройшло.

Що насправді порівнює тригер

Три речі мають збігтися, перш ніж клієнт вважатиме мережу довіреною. По-перше, DNS-суфікс, специфічний для підключення, який Windows записує для фізичного адаптера, має бути в списку суфіксів профілю. По-друге, профіль підключення, який Windows зберігає для цієї мережі, має бути тим, якого очікує політика, бо зіставлення відбувається з цим профілем, а не з ім’ям, яке користувач увів у бездротовому діалозі. По-третє, мережа має бути класифікована так, як вимагає політика, що на практиці означає доменну або приватну мережу, або пристрій, чия політика надійшла через керування. Приберіть будь-що з цього, і тригер спрацює.

Це вужча перевірка, ніж порівняння публічної адреси виходу VPN, і значно вужча, ніж довіра до SSID. Точка доступу, що повторює корпоративне ім’я, сама по собі не задовольняє порівнянь суфікса та профілю. Це також означає, що функція нічого не каже про безпеку мережі; вона каже, чи вважає цей пристрій, що вже вдома.

Прочитайте поточний стан, перш ніж змінювати профіль

Почніть із того, що Windows вважає зараз. Командлет профілю підключення повідомляє ім’я мережі, інтерфейс і категорію, яку призначив Windows, а це і є третє порівняння вище. Потім прочитайте профіль VPN і знайдіть список довірених суфіксів, використовуючи повний дамп властивостей замість угадування їхніх назв:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Якщо цей дамп не показує довірений суфікс у вашій збірці, поверніться до XML профілю, який є авторитетною копією, коли набір властивостей різниться між версіями. Прочитайте XML із політики керування або зі сховища профілів усіх користувачів і порівняйте його записи суфікса з суфіксом адаптера, зазначеним вище. Запишіть обидва значення, перш ніж торкатися будь-якого з них.

Перевірте межу в обидва боки

Перевірте на передбаченому корпоративному підключенні та ще в одній схваленій мережі й запишіть, чи піднявся тунель. Потім перевірте той самий пристрій після виходу. Ноутбук, що спрацьовує вдома й пригнічується в офісі, поводиться як задумано, а той, що не спрацьовує ніде, має іншу несправність. Перевірте, чи доступні ресурси за тунелем під час спрацювання, бо запущений тунель не доводить працездатність маршруту.

Не додавайте широкий суфікс лише для того, щоб зникло сповіщення. Суфікс, що трапляється в багатьох мережах, вчить клієнта пригнічувати тунель майже всюди, і подальше навантаження на підтримку гірше за сповіщення. Змінюйте критерії через власника профілю, яким у керованому парку є адміністратор MDM, а не людина за ноутбуком.

Тримайте обидві тестові мережі в записі разом із результатом. Межа, яку ніколи не перевіряли, — це лише твердження.

Відокремте пригнічення від блокування

Незапущений тунель — це не заблоковане підключення. Виявлення довіреної мережі керує автозапуском, тоді як фільтрація трафіку та поведінка kill-switch є окремими налаштуваннями політики з власними режимами відмови. Пристрій у довіреній мережі може законно надсилати трафік поза тунелем, і називати це витоком, не прочитавши політику, означає плутати два рішення. Перевірте правила трафіку профілю, перш ніж звинувачувати виявлення у витоку.

Те саме розрізнення пояснює зворотну скаргу. Користувачі, які повідомляють, що VPN зупинився випадково, зазвичай описують зміну мережі, що задовольнила критерії, а не відмову служби. Збіглий суфікс і категорія мережі — це докази, які треба зібрати, і обидва видно у виводі вище.

Зберіть ці докази, перш ніж змінювати політику. Перемикач, що приховує симптом, приховує й причину.

Запишіть, на чому ґрунтувалося рішення

Запишіть збіглий суфікс, ім’я профілю підключення та категорію мережі в нотатки про розгортання для кожного майданчика. Коли тунель не піднімається, цей запис перетворює загадку на порівняння: або змінилося одне з трьох значень, або політика. Він також дає наступному інженеру спосіб підтвердити конструкцію замість вимкнення виявлення для закриття заявки.

Переглядайте список суфіксів, коли майданчик перейменовують або домен об’єднують, бо застарілий запис і далі тихо пригнічує тунель. Довідка Microsoft щодо виявлення довіреної мережі перелічує елементи профілю та передумови розгортання, і це документ, на який посилаються, коли хтось пропонує розширити список.