Тунэль прылады на Windows Pro? Праверце матрыцу выпускаў
Разгорнуты профіль не даказвае прыдатнасць. Параўнайце матрыцу выпускаў, вузел CSP і перадумовы перад уваходам, перш чым шукаць прычыну ў тунэлі.
Профіль трапляе на ноўтбук, старонка налад VPN яго паказвае, а тунэль прылады ўсё роўна ніколі не падключаецца на экране ўвахода. На Windows Pro гэта часта не памылка канфігурацыі. Убудаваны тунэль прылады ліцэнзуецца па выпуску, а тунэль карыстальніка, які працуе пасля ўвахода, даказвае іншую магчымасць. Прачытайце патрабаванне, перш чым займацца сертыфікатам.
Сімптом з’яўляецца да таго, як хто-небудзь увойдзе
Тунэль карыстальніка падключаецца ў кантэксце карыстальніка пасля ўвахода, таму ён звычайна працуе на Pro. Тунэль прылады павінен устанавіць сувязь машыны да таго, як увойдзе любы карыстальнік, з дапамогай сертыфіката машыны і IKEv2. Гэта розныя этапы жыццёвага цыкла, а не два назвы аднаго профілю.
На непрыдатным выпуску профіль усё яшчэ можна даставіць і паказаць у спісе, але злучэнне перад уваходам не з’яўляецца. Пасля ўвахода тунэль карыстальніка можа цалкам працаваць, і таму разгортванне выглядае здаровым у кожнай праверцы, якую робіць уладальнік уліковага запісу. Збой незаўважны знутры сеанса, у які ўжо ўвайшлі.
Дазвол профілю для ўсіх карыстальнікаў змяняе, каму можна ім карыстацца. Ён не змяняе кантэкст аўтэнтыфікацыі з карыстальніка на машыну, таму не можа ператварыць тунэль карыстальніка ў тунэль прылады. Розніца ў кантэксце аўтэнтыфікацыі, а не ў бачнасці профілю.
Чытайце матрыцу, а не толькі вузел CSP
Матрыца функцый Windows 11 ад Microsoft пералічвае ўбудаваны тунэль прылады Always On VPN для Enterprise і Education. Пастаўшчык службы канфігурацыі VPNv2 асобна дакументуе вузел DeviceTunnel, у сферу прымянення якога ўваходзіць Pro, і гэты радок часта цытуюць як доказ, што функцыя працуе. Паверхня канфігурацыі і ліцэнзаванне функцыі адказваюць на розныя пытанні: адно кажа, што наладку можна выказаць, другое — што выпуск мае права на гэтую магчымасць.
Пацвердзіце фактычны выпуск і зборку замест таго, каб давяраць запісу аб куплі. Кіраваная актывацыя, абнаўленне, якое яшчэ ідзе, або перасабраны вобраз могуць пакінуць машыну на іншым выпуску, чым у спісе актываў:
winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumberКалі вывад паказвае Pro, убудаваны тунэль прылады знаходзіцца па-за дакументаваным наборам функцый для гэтай машыны. Гэтая выснова не патрабуе змены профілю і не будзе выпраўлена ёй. Запішыце гэтую знаходку, перш чым мяняць што-небудзь яшчэ.
Чатыры перадумовы за сцягам функцыі
Выпуск — гэта брама, а астатнія патрабаванні тлумачаць, чаму машына на прыдатным выпуску ўсё роўна не працуе. Правярайце іх па парадку, бо кожнае можа даць той самы ціхі вынік. Пропуск радка марнуе намаганні, выдаткаваныя на радкі ніжэй. Выпуск ідзе першым нездарма.
| Prerequisite | How to verify | Common failure |
|---|---|---|
| Edition and build | DISM /online /get-currentedition | Pro image with an Enterprise asset record |
| Join state | Domain membership in system information | Microsoft Entra join treated as domain join |
| Machine certificate | Certificate store in the local machine context | Certificate issued to the user store |
| Profile context | Provisioned through the machine channel | Delivered as a user tunnel profile |
Праверку сертыфіката людзі прапускаюць. Прыватны ключ павінен быць у сховішчы машыны і даступны кантэксту сістэмы да ўвахода, а гэта іншае сховішча, чым тое, што карыстальнік бачыць у сваім дыялогу сертыфікатаў:
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfterСертыфікат, які выглядае правільным у сховішчы карыстальніка, можа цалкам адсутнічаць у сховішчы машыны. Тады тунэль прылады не праходзіць аўтэнтыфікацыю да з’яўлення экрана ўвахода, і ніякае паўторнае імпартаванне профілю гэтага не зменіць. Правярайце сховішча, якое выкарыстоўвае служба, а не тое, якое бачыць карыстальнік.
Запланаваная задача ад SYSTEM — не гэтая функцыя
Ходзіць абыходны шлях: запускаць профіль VPN з запланаванай задачы ад SYSTEM, каб тунэль з’яўляўся неўзабаве пасля загрузкі. Гэта не ўбудаваны тунэль прылады. Рухавік задач стартуе ў іншы момант, злучэнне — гэта профіль рэжыму карыстальніка, запушчаны службовым уліковым запісам, і жыццёвы цыкл не адпавядае тунэлю з аўтэнтыфікацыяй машыны, які павінен існаваць на экране ўвахода.
Ён можа прайсці павярхоўную праверку, бо да моманту, калі хтосьці ўвойдзе і праверыць, тунэль ужо ўзняты. Гэты поспех вымярае затрымку паміж загрузкай і задачай, а не злучэнне перад уваходам, і пакідае машыну без тунэля ў акне, якое функцыя павінна была пакрываць.
Лічыце гэты абыходны шлях неподтрыманым для вытворчасці. Калі праект залежыць ад яго, патрабаваннем, верагодна, з’яўляецца злучэнне перад уваходам, і гэта вяртае размову да прыдатнасці выпуску.
Выбірайце патрабаванне раней за тэхналогію
Запішыце патрабаванне адным сказам: прылада павінна дасягнуць названага рэсурсу да таго, як увойдзе любы карыстальнік, або карыстальніку патрэбны доступ пасля ўвахода. Калі другі сказ праўдзівы, тунэль карыстальніка Always On на Pro — падтрымліваемы праект, а тунэль прылады — непатрэбная складанасць.
Калі першы сказ праўдзівы, выпуск — жорсткая брама. Выберыце прыдатны выпуск або дакументаваную архітэктуру перад уваходам, якую падтрымлівае арганізацыя, і сплануйце змену ліцэнзіі да таго, як будаваць профілі і сертыфікаты вакол магчымасці, якую машына не можа выканаць.
Запішыце выпуск, стан далучэння, размяшчэнне сертыфіката і канал забеспячэння ў нататках аб разгортванні. Тады наступны інжынер зможа пацвердзіць прыдатнасць за хвіліны замест таго, каб паўтараць тое ж выпраўленне профілю на машыне, якая ніколі не падключылася б.