Tunel uređaja na Windows Pro? Provjerite matricu izdanja

Profil stigne na prijenosnik, stranica VPN postavki ga prikaže, a tunel uređaja se ipak nikada ne poveže na ekranu za prijavu. Na Windows Pro to često nije greška u konfiguraciji. Izvorni tunel uređaja licencira se po izdanju, a korisnički tunel koji radi nakon prijave dokazuje drugu mogućnost. Pročitajte zahtjev prije nego što počnete ispitivati certifikat.

Simptom se pojavljuje prije nego što se bilo ko prijavi

Korisnički tunel se povezuje u kontekstu korisnika nakon prijave, zato na Pro radi normalno. Tunel uređaja treba uspostaviti vezu mašine prije nego što se bilo koji korisnik prijavi, koristeći certifikat mašine i IKEv2. To su različite faze životnog ciklusa, a ne dva naziva istog profila.

Na nepodobnom izdanju profil se ipak može dostaviti i prikazati na listi, ali veza prije prijave se ne pojavljuje. Nakon prijave korisnički tunel može raditi besprijekorno, zbog čega raspoređivanje izgleda zdravo u svakoj provjeri koju provodi vlasnik računa. Kvar je nevidljiv iz unutrašnjosti prijavljene sesije.

Stavljanje profila na raspolaganje svim korisnicima mijenja to ko ga smije koristiti. Ono ne mijenja kontekst provjere identiteta s korisnika na mašinu, pa ne može pretvoriti korisnički tunel u tunel uređaja. Razlika je u kontekstu provjere identiteta, a ne u vidljivosti profila.

Čitajte matricu, ne samo CSP čvor

Microsoftova matrica funkcija za Windows 11 navodi izvorni Always On VPN tunel uređaja za Enterprise i Education. Davatelj usluge konfiguracije VPNv2 zasebno dokumentira čvor DeviceTunnel čija primjenjivost uključuje Pro, a taj se redak često citira kao dokaz da funkcija radi. Konfiguracijska površina i licenciranje funkcije odgovaraju na različita pitanja: jedno kaže da se postavka može izraziti, drugo da izdanje ima pravo na tu mogućnost.

Potvrdite stvarno izdanje i build umjesto da vjerujete zapisu o kupnji. Upravljana aktivacija, nadogradnja u tijeku ili ponovno izgrađena slika mogu ostaviti mašinu na drugom izdanju od onog u popisu imovine:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Ako izlaz kaže Pro, izvorni tunel uređaja je izvan dokumentiranog skupa funkcija za tu mašinu. Taj zaključak ne zahtijeva promjenu profila i njome se neće ispraviti. Zabilježite taj nalaz prije nego što promijenite bilo što drugo.

Četiri preduslova iza oznake funkcije

Izdanje je kapija, a preostali zahtjevi objašnjavaju zašto mašina na podobnom izdanju ipak ne uspijeva. Provjeravajte ih po redu, jer svaki može dati isti tihi rezultat. Preskakanje retka troši trud uložen u retke ispod njega. Izdanje je prvo s razlogom.

Provjera certifikata je ona koju ljudi preskaču. Privatni ključ mora biti prisutan u spremištu mašine i upotrebljiv sistemskom kontekstu prije prijave, što je drugo spremište od onoga koje korisnik vidi u vlastitom dijalogu za certifikate:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Certifikat koji izgleda ispravno u korisničkom spremištu može potpuno izostati iz spremišta mašine. Tunel uređaja tada ne uspijeva u provjeri identiteta prije nego što se pojavi ekran za prijavu, i nikakvo ponovno uvoženje profila to ne mijenja. Provjerite spremište koje koristi usluga, a ne ono koje vidi korisnik.

Zakazani zadatak pod SYSTEM nije ta funkcija

Kruži zaobilazno rješenje koje pokreće VPN profil iz zakazanog zadatka pod SYSTEM, pa se tunel pojavi ubrzo nakon podizanja sustava. To nije izvorni tunel uređaja. Motor zadataka počinje u drugoj točki, veza je profil u korisničkom načinu koji pokreće servisni račun, a životni ciklus ne odgovara tunelu s provjerom identiteta mašine koji mora postojati na ekranu za prijavu.

Može proći površni test jer je tunel aktivan do trenutka kada se netko prijavi i provjeri. Taj uspjeh mjeri odgodu između podizanja sustava i zadatka, a ne povezanost prije prijave, i ostavlja mašinu bez tunela tijekom razdoblja koje je funkcija trebala pokrivati.

Tretirajte zaobilazno rješenje kao nepodržano za produkciju. Ako dizajn ovisi o njemu, zahtjev je vjerojatno veza prije prijave, što raspravu vraća na podobnost izdanja.

Odaberite zahtjev prije tehnologije

Napišite zahtjev u jednoj rečenici: uređaj mora dosegnuti navedeni resurs prije nego što se bilo koji korisnik prijavi, ili korisnik treba pristup nakon prijave. Ako je druga rečenica istinita, Always On korisnički tunel na Pro je podržan dizajn, a tunel uređaja nepotrebna složenost.

Ako je prva rečenica istinita, izdanje je čvrsta kapija. Odaberite podobno izdanje ili dokumentiranu arhitekturu prije prijave koju organizacija podržava i planirajte promjenu licencije prije izgradnje profila i certifikata oko mogućnosti koju mašina ne može izvršiti.

Zabilježite izdanje, stanje pridruživanja, lokaciju certifikata i kanal dodjele u bilješke o raspoređivanju. Sljedeći inženjer tada može potvrditi podobnost u nekoliko minuta umjesto da ponavlja isto otklanjanje problema s profilom na mašini koja se nikada ne bi povezala.