Ахоп профілю VPN у Windows: бягучы карыстальнік ці ўсе карыстальнікі?
Ахоп вызначае, дзе захоўваецца ўласны профіль VPN у Windows і хто можа яго бачыць. Ён не робіць злучэнне тунелем прылады і не агульвае ўліковыя даныя.
Вы запускаеце каманду для профілю VPN, яна не вяртае памылкі, і злучэнне, якое запускае карыстальнік, паводзіць сябе гэтак жа, як раней. Нічога не зламалася. Windows трымае ўласныя профілі VPN у двух сховішчах, і вы адрэдагавалі тое, якое не задзейнічана. Адно і тое ж адлюстраванае імя можа існаваць у абодвух, і менавіта таму скрыпт выглядае паспяховым, пакуль злучэнне карыстальніка ігнаруе кожнае вашае змяненне.
Вырашэнне не ў лепшым скрыпце; яно ў тым, каб назваць ахоп раней, чым назваць профіль.
Сімптом і два сховішчы
Windows трымае ўласныя профілі VPN у асабістай тэлефоннай кнізе кожнага карыстальніка і ў агульнамашыннай кнізе для ўсіх карыстальнікаў. Get-VpnConnection чытае сховішча бягучага карыстальніка, а Get-VpnConnection -AllUserConnection — машыннае.
Профіль, створаны з -AllUserConnection, бачны кожнаму ўліковаму запісу на машыне і патрабуе павышанага сеанса для стварэння або выдалення. Профіль, створаны без яго, належыць запісу, які выканаў каманду, і іншы карыстальнік пры ўваходзе не бачыць нічога. Абодва могуць насіць адно і тое ж імя, і ніводзін не папярэджвае, што іншы існуе. Таму сімптом выглядае як ціхі збой, а не як паведамленне пра памылку.
Што ахоп сапраўды вызначае
Ахоп адказвае на два пытанні і адмаўляецца адказваць на трэцяе:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Менавіта апошнія два радкі людзі разумеюць няправільна. Профіль для ўсіх карыстальнікаў — гэта сховішча машыннага ахопу, а не машынная ідэнтычнасць, і ён сам па сабе не робіць злучэнне даступным да таго, як хтосьці ўвойдзе. Тунель прылады Windows Always On — асобная канфігурацыя са сваімі патрабаваннямі да сертыфіката і профілю. Ахоп тычыцца таго, хто можа бачыць профіль, а не таго, чым з’яўляецца машына.
Бачнасць — не аўтэнтыфікацыя
Профіль для ўсіх карыстальнікаў усё яшчэ патрабуе падтрыманай схемы ідэнтычнасці і ўліковых даных. Зрабіць профіль бачным кожнаму запісу не робіць кожны запіс тым жа аўтэнтыфікаваным карыстальніком і не аб’ядноўвае ўліковыя даныя.
Калі праект патрабуе, каб тунель быў узняты да ўваходу, адказ — тунель прылады, а не шырэйшы ахоп профілю. Калі праект патрабуе, каб кожны чалавек прад’явіў уласны сертыфікат, профіль на карыстальніка лепш адпавядае гэтай мадэлі, бо агульнамашынны профіль не можа прад’явіць уліковыя даныя, якія належаць камусьці іншаму.
Разгортванне і ўладанне палітыкай
На кіраваных машынах EMM або профіль канфігурацыі можа аднавіць захаваны стан пасля вашага змянення.
Гэта не памылка ў вашым скрыпце; гэта два ўладальнікі, якія пішуць у адно сховішча. Узгадніце ахоп з тым, хто валодае палітыкай, і аддайце перавагу змене палітыкі, а не паўторнаму запуску каманды па раскладзе. Лакальнае выпраўленне, якое спаборнічае з палітыкай, стварае машыну, дзе профіль выглядае правільным да наступнай сінхранізацыі.
Што запісваць, калі яно ламаецца
Запішыце тры рэчы разам: імя профілю, ахоп, на які вы нацэліліся, і фактычную памылку злучэння.
Маршрут або сертыфікат, ужыты да профілю ў іншым сховішчы, не выправіць той, які запускае карыстальнік, і тэкст памылкі будзе паказваць на злучэнне, а не на вашае рэдагаванне. Пасля ўзгодненага змянення перападключыцеся праз прызначаны пункт уваходу і праверце ўжытыя маршруты, а таксама захаваныя налады. Сховішча профіляў адказвае, што даступна, а актыўнае злучэнне адказвае, што прылада робіць цяпер.
Дакументацыя Microsoft для Add-VpnConnection пералічвае пераключальнік ахопу побач з параметрамі, якія ён змяняе; гэта карыснае напамінанне, што ахоп — рашэнне, якое прымаецца пры стварэнні, а не налада, якую вы перамыкаеце пазней.