Windows VPN-profielomvang: huidige gebruiker of alle gebruikers?
Die omvang bepaal waar ’n inheemse Windows VPN-profiel gestoor word en wie dit kan sien. Dit maak nie die verbinding ’n toesteltonnel nie en deel ook nie geloofsbriewe nie.
Jy voer ’n opdrag teen ’n VPN-profiel uit, dit gee geen fout terug nie, en die verbinding wat die gebruiker begin, werk presies soos voorheen. Niks is stukkend nie. Windows hou inheemse VPN-profiele in twee bergplekke, en jy het die een geredigeer wat nie in gebruik is nie. Dieselfde vertoonnaam kan in albei bestaan, en dit is hoe ’n script skynbaar slaag terwyl die gebruiker se verbinding elke verandering wat jy gemaak het, ignoreer.
Die oplossing is nie ’n beter script nie; dit is om die omvang te noem voordat jy die profiel noem.
Die simptoom en die twee bergplekke
Windows hou inheemse VPN-profiele in ’n telefoonboek per gebruiker en in ’n masjienwye telefoonboek vir alle gebruikers. Get-VpnConnection lees die bergplek van die huidige gebruiker, en Get-VpnConnection -AllUserConnection lees die masjien s’n.
’n Profiel wat met -AllUserConnection geskep is, verskyn vir elke rekening op die masjien en het ’n verhoogde sessie nodig om te skep of te verwyder. ’n Profiel wat daarsonder geskep is, behoort aan die rekening wat die opdrag uitgevoer het, en ’n ander gebruiker wat aanmeld, sien glad niks nie. Albei kan dieselfde naam dra, en nie een waarsku jou dat die ander bestaan nie. Dit is waarom die simptoom soos ’n stil mislukking lyk eerder as ’n foutboodskap.
Wat die omvang werklik bepaal
Die omvang beantwoord twee vrae en weier om ’n derde te beantwoord:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Die laaste twee rye is die een wat mense verkeerd kry. ’n Profiel vir alle gebruikers is masjiengebonde berging, nie ’n masjienidentiteit nie, en dit maak nie op sigself die verbinding beskikbaar voordat iemand aanmeld nie. ’n Windows Always On toesteltonnel is ’n aparte konfigurasie met sy eie sertifikaat- en profielvereistes. Die omvang gaan oor wie ’n profiel kan sien, nie oor wie die masjien is nie.
Sigbaarheid is nie verifikasie nie
’n Profiel vir alle gebruikers het steeds ’n ondersteunde reëling vir identiteit en geloofsbriewe nodig. Om die profiel vir elke rekening sigbaar te maak, maak nie elke rekening dieselfde geverifieerde gebruiker nie, en dit deel nie geloofsbriewe nie.
As die ontwerp vereis dat die tonnel voor aanmelding op is, is die antwoord ’n toesteltonnel eerder as ’n wyer profielomvang. As die ontwerp vereis dat elke persoon sy eie sertifikaat voorlê, pas ’n profiel per gebruiker beter by daardie model, want ’n masjienwye profiel kan nie ’n geloofsbrief voorlê wat aan iemand anders behoort nie.
Ontplooiing en eienaarskap van beleid
Op bestuurde masjiene kan ’n EMM of ’n konfigurasieprofiel die gestoorde toestand ná jou verandering herskep.
Dit is nie ’n fout in jou script nie; dit is twee eienaars wat aan dieselfde bergplek skryf. Koördineer die omvang met wie ook al die beleid besit, en verkies om die beleid te verander eerder as om jou opdrag volgens ’n skedule weer te laat loop. ’n Plaaslike oplossing wat met beleid meeding, lewer ’n masjien waar die profiel korrek lyk tot die volgende sinchronisasie.
Wat om aan te teken wanneer dit breek
Teken drie dinge saam aan: die profielnaam, die omvang wat jy geteiken het, en die werklike verbindingsfout.
’n Roete of sertifikaat wat op ’n profiel in die ander bergplek toegepas is, sal nie die een regstel wat die gebruiker begin nie, en die foutteks sal aanhou wys na die verbinding eerder as na jou wysiging. Nadat ’n verandering goedgekeur is, koppel weer via die beoogde toegangspunt en ondersoek die toegepaste roetering sowel as die gestoorde instellings. Die profielbergplek antwoord wat beskikbaar is, terwyl die aktiewe verbinding antwoord wat die toestel nou doen.
Die Microsoft-dokumentasie vir Add-VpnConnection lys die omvangskakelaar langs die parameters wat dit verander, wat ’n nuttige herinnering is dat omvang ’n besluit is wat by skepping geneem word, nie ’n instelling wat jy later omdraai nie.