نطاق ملف تعريف VPN في Windows: المستخدم الحالي أم جميع المستخدمين؟
يحدد النطاق أين يُخزَّن ملف تعريف VPN الأصلي في Windows ومن يمكنه رؤيته. وهو لا يحوّل الاتصال إلى نفق جهاز ولا يشارك بيانات الاعتماد.
تشغّل أمرًا على ملف تعريف VPN، فيعود بلا خطأ، ويعمل الاتصال الذي يبدأه المستخدم تمامًا كما كان. لا شيء معطوب. يحتفظ Windows بملفات تعريف VPN الأصلية في مخزنين، وأنت حرّرت المخزن غير المستخدم. يمكن أن يوجد الاسم الظاهر نفسه في كليهما، وهكذا يبدو النص البرمجي ناجحًا بينما يتجاهل اتصال المستخدم كل تغيير أجريته.
الإصلاح ليس نصًا برمجيًا أفضل؛ بل هو تسمية النطاق قبل تسمية ملف التعريف.
العَرَض والمخزنان
يحتفظ Windows بملفات تعريف VPN الأصلية في دفتر هاتف لكل مستخدم وفي دفتر هاتف على مستوى الجهاز لجميع المستخدمين. يقرأ Get-VpnConnection مخزن المستخدم الحالي، ويقرأ Get-VpnConnection -AllUserConnection مخزن الجهاز.
ملف التعريف المُنشأ باستخدام -AllUserConnection يظهر لكل حساب على الجهاز ويحتاج إلى جلسة مرفوعة الصلاحية لإنشائه أو إزالته. ملف التعريف المُنشأ بدونه يخص الحساب الذي نفّذ الأمر، ولا يرى مستخدم آخر يسجّل الدخول شيئًا على الإطلاق. يمكن أن يحمل الاثنان الاسم نفسه، ولا ينبّهك أي منهما إلى وجود الآخر. لهذا يبدو العَرَض كفشل صامت بدلًا من رسالة خطأ.
ما يحدده النطاق فعليًا
يجيب النطاق عن سؤالين ويرفض الإجابة عن ثالث:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
الصفان الأخيران هما ما يخطئ فيه الناس. ملف تعريف لجميع المستخدمين هو تخزين بنطاق الجهاز، وليس هوية جهاز، وهو لا يجعل الاتصال متاحًا قبل تسجيل الدخول بحد ذاته. نفق جهاز Always On في Windows تكوين منفصل له متطلباته الخاصة من الشهادات وملفات التعريف. النطاق يتعلق بمن يمكنه رؤية ملف التعريف، لا بهوية الجهاز.
الظهور ليس مصادقة
ملف تعريف لجميع المستخدمين يظل بحاجة إلى ترتيب مدعوم للهوية وبيانات الاعتماد. جعل ملف التعريف مرئيًا لكل حساب لا يجعل كل حساب هو المستخدم الموثّق نفسه، ولا يجمع بيانات الاعتماد.
إذا كان التصميم يحتاج النفق قائمًا قبل تسجيل الدخول، فالجواب نفق جهاز وليس نطاق ملف تعريف أوسع. إذا كان التصميم يحتاج أن يقدّم كل شخص شهادته الخاصة، فملف تعريف لكل مستخدم يناسب ذلك النموذج أكثر، لأن ملف تعريف على مستوى الجهاز لا يمكنه تقديم بيانات اعتماد تخص شخصًا آخر.
النشر وملكية السياسة
على الأجهزة المُدارة، يمكن لـ EMM أو ملف تكوين أن يعيد إنشاء الحالة المحفوظة بعد تغييرك.
هذا ليس خطأ في نصك البرمجي؛ بل مالكَان يكتبان في المخزن نفسه. نسّق النطاق مع من يملك السياسة، وفضّل تغيير السياسة على إعادة تشغيل أمرك وفق جدول. الإصلاح المحلي الذي ينافس السياسة يُنتج جهازًا يبدو فيه ملف التعريف صحيحًا حتى المزامنة التالية.
ما الذي تسجّله عند حدوث العطل
سجّل ثلاثة أشياء معًا: اسم ملف التعريف، والنطاق الذي استهدفته، وخطأ الاتصال الفعلي.
المسار أو الشهادة المطبقة على ملف تعريف في المخزن الآخر لن تصلح الملف الذي يبدأه المستخدم، وسيظل نص الخطأ يشير إلى الاتصال لا إلى تعديلك. بعد تغيير معتمد، أعد الاتصال عبر نقطة الدخول المقصودة وافحص التوجيه المطبق إلى جانب الإعدادات المحفوظة. مخزن ملفات التعريف يجيب عمّا هو متاح، بينما الاتصال النشط يجيب عمّا يفعله الجهاز الآن.
توثيق Microsoft لـ Add-VpnConnection يسرد مفتاح النطاق بجوار المعاملات التي يعدّلها، وهو تذكير مفيد بأن النطاق قرار يُتخذ عند الإنشاء وليس إعدادًا تقلبه لاحقًا.