Vì sao Always On VPN ngừng kích hoạt trên mạng văn phòng

Máy tính xách tay tham gia Wi-Fi của văn phòng, và hồ sơ Always On từng kết nối từ nhà vẫn ở trạng thái tắt. Không có gì trong nhật ký sự kiện gọi đó là lỗi, vì theo quan điểm của máy khách, mạng là tin cậy và đường hầm không cần thiết. Tính năng phát hiện mạng tin cậy là thứ đưa ra quyết định đó, và nó so sánh các giá trị cụ thể thay vì nhận ra một SSID quen thuộc. Khi quyết định sai, bạn cần xem phép so sánh nào đã qua.

Trình kích hoạt thực sự so sánh điều gì

Ba thứ phải khớp trước khi máy khách coi một mạng là tin cậy. Thứ nhất, hậu tố DNS dành riêng cho kết nối mà Windows ghi cho bộ điều hợp vật lý phải xuất hiện trong danh sách hậu tố của hồ sơ. Thứ hai, hồ sơ kết nối mà Windows giữ cho mạng đó phải là hồ sơ mà chính sách mong đợi, vì việc đối chiếu dựa trên hồ sơ đó chứ không dựa trên tên mà người dùng gõ trong hộp thoại không dây. Thứ ba, mạng phải được phân loại như chính sách yêu cầu, trên thực tế nghĩa là mạng miền hoặc mạng riêng, hoặc thiết bị có chính sách đến qua quản lý. Bỏ một trong ba và trình kích hoạt sẽ chạy.

Đây là phép thử hẹp hơn việc so sánh địa chỉ thoát công cộng của VPN, và hẹp hơn nhiều so với việc tin vào một SSID. Một điểm truy cập lặp lại tên công ty không tự mình đáp ứng các phép so sánh hậu tố và hồ sơ. Điều đó cũng có nghĩa tính năng này không nói gì về việc mạng có an toàn hay không; nó nói thiết bị này có cho rằng mình đã ở nhà hay chưa.

Đọc trạng thái hiện tại trước khi sửa hồ sơ

Hãy bắt đầu với điều Windows tin hiện nay. Lệnh ghép của hồ sơ kết nối báo cáo tên mạng, giao diện và danh mục mà Windows đã gán, tức phép so sánh thứ ba ở trên. Sau đó đọc hồ sơ VPN và tìm danh sách hậu tố tin cậy, dùng bản kết xuất thuộc tính đầy đủ thay vì đoán tên thuộc tính:

Get-NetConnectionProfile
Get-VpnConnection -Name "Corp VPN" | Format-List *

Nếu bản kết xuất đó không phơi bày hậu tố tin cậy trên bản dựng của bạn, hãy quay lại XML của hồ sơ, bản sao có thẩm quyền khi bề mặt thuộc tính khác nhau giữa các phiên bản. Đọc XML từ chính sách quản lý hoặc từ kho hồ sơ của tất cả người dùng, và so sánh các mục hậu tố của nó với hậu tố bộ điều hợp được báo cáo ở trên. Ghi lại cả hai giá trị trước khi chạm vào bất kỳ giá trị nào.

Kiểm tra ranh giới theo cả hai hướng

Hãy thử trên kết nối doanh nghiệp dự định và trên một mạng đã được phê duyệt khác, rồi ghi lại xem đường hầm có lên không. Sau đó thử cùng thiết bị sau khi rời mạng. Máy tính xách tay kích hoạt ở nhà và bị chặn ở văn phòng hành xử đúng như thiết kế, trong khi máy không bao giờ kích hoạt ở đâu có lỗi khác. Kiểm tra xem tài nguyên sau đường hầm có truy cập được khi kích hoạt hay không, vì đường hầm đã khởi động không phải bằng chứng của một tuyến hoạt động.

Đừng thêm một hậu tố rộng chỉ để một thông báo biến mất. Một hậu tố xuất hiện trên nhiều mạng sẽ dạy máy khách chặn đường hầm gần như ở mọi nơi, và gánh nặng hỗ trợ theo sau còn tệ hơn thông báo. Hãy đổi tiêu chí thông qua chủ sở hữu hồ sơ, người trong một đội được quản lý là quản trị viên MDM chứ không phải người ngồi trước máy.

Giữ cả hai mạng thử nghiệm trong hồ sơ cùng với kết quả. Một ranh giới chưa từng được kiểm tra chỉ là một tuyên bố.

Tách việc chặn khỏi việc khóa

Một đường hầm không được khởi động không phải là kết nối bị khóa. Phát hiện mạng tin cậy điều khiển trình kích hoạt tự động, còn lọc lưu lượng và hành vi kill-switch là những thiết lập chính sách riêng với chế độ lỗi của chúng. Một thiết bị trên mạng tin cậy có thể gửi lưu lượng ra ngoài đường hầm một cách hợp pháp, và gọi đó là rò rỉ mà không đọc chính sách là nhầm lẫn hai thiết kế. Kiểm tra các quy tắc lưu lượng của hồ sơ trước khi đổ lỗi cho tính năng phát hiện về một vụ rò rỉ.

Cùng sự phân biệt đó giải thích khiếu nại ngược lại. Người dùng báo cáo rằng VPN tự dừng ngẫu nhiên thường mô tả một thay đổi mạng đã thỏa mãn tiêu chí, chứ không phải sự cố dịch vụ. Hậu tố khớp và danh mục mạng là bằng chứng cần thu thập, và cả hai đều xuất hiện trong đầu ra ở trên.

Hãy thu thập bằng chứng đó trước khi sửa chính sách. Một công tắc che giấu triệu chứng cũng che giấu nguyên nhân.

Ghi lại quyết định dựa trên điều gì

Ghi hậu tố khớp, tên hồ sơ kết nối và danh mục mạng vào ghi chú triển khai của từng trang. Khi đường hầm không lên, bản ghi đó biến một điều bí ẩn thành phép so sánh: hoặc một trong ba giá trị đã thay đổi, hoặc chính sách đã thay đổi. Nó cũng cho kỹ sư tiếp theo cách xác nhận thiết kế thay vì tắt tính năng phát hiện để đóng phiếu.

Hãy xem lại danh sách hậu tố khi một trang được đổi tên hoặc một miền được hợp nhất, vì một mục lỗi thời tiếp tục chặn đường hầm một cách âm thầm. Tài liệu tham chiếu của Microsoft về phát hiện mạng tin cậy liệt kê các phần tử hồ sơ và điều kiện tiên quyết triển khai, và đó là tài liệu cần trích dẫn khi ai đó đề xuất mở rộng danh sách.