Тунел на устройството под Windows Pro? Проверете матрицата на изданията

Профилът пристига на лаптопа, страницата с настройки на VPN го показва, а тунелът на устройството все още никога не се свързва на екрана за влизане. Под Windows Pro това често не е грешка в конфигурацията. Вграденият тунел на устройството се лицензира според изданието, а потребителският тунел, който работи след влизане, доказва друга възможност. Прочетете изискването, преди да се заемете със сертификата.

Симптомът се появява, преди някой да влезе

Потребителският тунел се свързва в контекста на потребителя след влизане, затова работи нормално под Pro. Тунелът на устройството трябва да установи машинна връзка преди влизането на който и да е потребител, чрез машинен сертификат и IKEv2. Това са различни етапи от жизнения цикъл, а не две имена на един и същ профил.

При неподходящо издание профилът все още може да бъде доставен и изброен, но връзката преди влизане не се появява. След влизане потребителският тунел може да работи отлично и това прави разгръщането да изглежда здраво при всяка проверка, извършена от собственика на акаунта. Повредата е невидима от вътрешността на сесия, в която вече е влязъл потребител.

Предоставянето на профил на всички потребители променя кой може да го използва. То не променя контекста на удостоверяване от потребител на машина, затова не може да превърне потребителски тунел в тунел на устройството. Разликата е в контекста на удостоверяване, а не в видимостта на профила.

Четете матрицата, не само възела CSP

Матрицата с функции на Windows 11 на Microsoft изброява вградения тунел на устройството Always On VPN за Enterprise и Education. Доставчикът на услугата за конфигурация VPNv2 отделно документира възел DeviceTunnel, чийто обхват включва Pro, и този ред често се цитира като доказателство, че функцията работи. Конфигурационната повърхност и лицензирането на функцията отговарят на различни въпроси: едното казва, че дадена настройка може да бъде изразена, другото — че изданието има право на възможността.

Потвърдете действителното издание и компилация, вместо да се доверявате на записа за покупка. Управляваното активиране, текущото надграждане или пресъздаден образ могат да оставят машината на различно издание от това в списъка с активи:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Ако изходът показва Pro, вграденият тунел на устройството е извън документирания набор от функции за тази машина. Това заключение не изисква промяна на профила и няма да бъде поправено с такава. Запишете констатацията, преди да промените нещо друго.

Четири предпоставки зад флага на функцията

Изданието е вратата, а останалите изисквания обясняват защо машина с подходящо издание все още се проваля. Проверявайте ги по ред, защото всяко може да даде същия тих резултат. Пропускането на ред пропилява усилието, вложено в редовете под него. Изданието е първо по причина.

Проверката на сертификата е тази, която хората пропускат. Частният ключ трябва да присъства в машинното хранилище и да е използваем от системния контекст преди влизане, което е различно хранилище от това, което потребителят вижда в своя диалог за сертификати:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Сертификат, който изглежда правилен в хранилището на потребителя, може напълно да липсва в машинното хранилище. Тогава тунелът на устройството се проваля при удостоверяване преди появата на екрана за влизане и никакво повторно импортиране на профила не променя това. Проверете хранилището, което използва услугата, а не това, което вижда потребителят.

Планирана задача под SYSTEM не е функцията

Циркулира заобиколно решение, което стартира VPN профил от планирана задача под SYSTEM и така тунел се появява малко след зареждане. Това не е вграденият тунел на устройството. Машината за задачи стартира в друг момент, връзката е профил в потребителски режим, стартиран от служебен акаунт, и жизненият цикъл не съвпада с машинно удостоверен тунел, който трябва да съществува на екрана за влизане.

Той може да мине през повърхностен тест, защото до момента, в който някой влезе и провери, тунелът вече е активен. Този успех измерва закъснението между зареждането и задачата, а не свързаността преди влизане, и оставя машината без тунел през прозореца, който функцията е трябвало да покрива.

Третирайте заобиколното решение като неподдържано за продукция. Ако дизайн зависи от него, изискването вероятно е връзка преди влизане, което връща обсъждането към допустимостта на изданието.

Изберете изискването преди технологията

Напишете изискването с едно изречение: устройството трябва да достигне посочен ресурс, преди да влезе който и да е потребител, или на потребителя е нужен достъп след влизане. Ако второто изречение е вярно, потребителски тунел Always On под Pro е поддържан дизайн и тунелът на устройството е ненужна сложност.

Ако първото изречение е вярно, изданието е твърда врата. Изберете подходящо издание или документирана архитектура преди влизане, която организацията поддържа, и планирайте промяната на лиценза, преди да изграждате профили и сертификати около възможност, която машината не може да изпълни.

Запишете изданието, състоянието на присъединяване, местоположението на сертификата и канала за предоставяне в бележките за разгръщане. Тогава следващият инженер може да потвърди допустимостта за минути, вместо да повтаря същото отстраняване на проблеми с профила на машина, която никога нямаше да се свърже.