Túnel de dispositiu a Windows Pro? Consulteu la matriu d’edicions

El perfil arriba a l’ordinador portàtil, la pàgina de configuració de VPN el mostra i, tot i així, el túnel de dispositiu no es connecta mai a la pantalla d’inici de sessió. A Windows Pro, sovint no és un error de configuració. El túnel de dispositiu natiu es llicencia per edició, i un túnel d’usuari que funciona després de l’inici de sessió demostra una capacitat diferent. Llegiu el requisit abans de depurar el certificat.

El símptoma apareix abans que ningú iniciï sessió

El túnel d’usuari es connecta en el context de l’usuari després de l’inici de sessió, per això funciona normalment a Pro. Es pretén que el túnel de dispositiu estableixi la connectivitat de la màquina abans que cap usuari iniciï sessió, amb un certificat de màquina i IKEv2. Aquestes són etapes diferents del cicle de vida, no dos noms del mateix perfil.

En una edició no elegible, el perfil encara es pot lliurar i llistar, però la connexió prèvia a l’inici de sessió no apareix. Després de l’inici de sessió, el túnel d’usuari pot funcionar perfectament, cosa que fa que el desplegament sembli saludable en totes les comprovacions que fa la persona propietària del compte. La fallada és invisible des de dins d’una sessió iniciada.

Posar un perfil a disposició de tots els usuaris canvia qui el pot utilitzar. No canvia el context d’autenticació d’usuari a màquina, així que no pot convertir un túnel d’usuari en un túnel de dispositiu. La diferència és el context d’autenticació, no la visibilitat del perfil.

Llegiu la matriu, no només el node CSP

La matriu de funcions del Windows 11 de Microsoft enumera el túnel de dispositiu Always On VPN natiu per a Enterprise i Education. El proveïdor de serveis de configuració VPNv2 documenta per separat un node DeviceTunnel l’aplicabilitat del qual inclou Pro, i aquesta línia sovint es cita com a prova que la funció funciona. La superfície de configuració i la llicència de la funció responen preguntes diferents: una diu que un paràmetre es pot expressar, l’altra diu que l’edició té dret a la capacitat.

Confirmeu l’edició i la compilació efectives en lloc de confiar en el registre de compra. L’activació gestionada, una actualització en curs o una imatge reconstruïda poden deixar una màquina en una edició diferent de la que indica la llista d’actius:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Si la sortida diu Pro, el túnel de dispositiu natiu queda fora del conjunt de funcions documentat per a aquesta màquina. Aquesta conclusió no requereix cap canvi de perfil i no es corregirà amb un. Anoteu aquesta troballa abans de canviar res més.

Quatre requisits darrere l’indicador de funció

L’edició és la porta, i la resta de requisits expliquen per què una màquina amb una edició elegible encara falla. Comproveu-los en ordre, perquè cadascun pot produir el mateix resultat silenciós. Saltar-se una fila malbarata l’esforç dedicat a les files de sota. L’edició va primer per una raó.

La comprovació del certificat és la que la gent s’estalvia. La clau privada ha de ser present a l’emmagatzematge de la màquina i utilitzable pel context del sistema abans de l’inici de sessió, que és un emmagatzematge diferent del que un usuari veu al seu propi diàleg de certificats:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Un certificat que sembla correcte a l’emmagatzematge de l’usuari pot ser completament absent de l’emmagatzematge de la màquina. Llavors el túnel de dispositiu falla l’autenticació abans que aparegui la pantalla d’inici de sessió, i cap reimportació del perfil ho canvia. Comproveu l’emmagatzematge que utilitza el servei, no el que veu l’usuari.

Una tasca programada amb SYSTEM no és la funció

Circula una solució alternativa que llança un perfil de VPN des d’una tasca programada executada com a SYSTEM, cosa que fa aparèixer un túnel poc després de l’arrencada. No és el túnel de dispositiu natiu. El motor de tasques s’inicia en un altre moment, la connexió és un perfil en mode usuari iniciat per un compte de servei i el cicle de vida no coincideix amb un túnel autenticat per màquina que ha d’existir a la pantalla d’inici de sessió.

Pot superar una prova superficial perquè el túnel ja funciona quan algú inicia sessió i comprova. Aquest èxit mesura el retard entre l’arrencada i la tasca, no la connectivitat prèvia a l’inici de sessió, i deixa la màquina sense túnel durant la finestra que la funció havia de cobrir.

Tracteu la solució alternativa com a no compatible per a producció. Si un disseny en depèn, el requisit probablement és una connexió prèvia a l’inici de sessió, cosa que torna la discussió a l’elegibilitat de l’edició.

Trieu el requisit abans de la tecnologia

Escriviu el requisit en una frase: el dispositiu ha d’arribar a un recurs anomenat abans que cap usuari iniciï sessió, o l’usuari necessita accés després d’iniciar-la. Si la segona frase és certa, un túnel d’usuari Always On a Pro és un disseny compatible i el túnel de dispositiu és una complexitat innecessària.

Si la primera frase és certa, l’edició és una porta dura. Trieu una edició elegible o una arquitectura prèvia a l’inici de sessió documentada que l’organització admeti, i planifiqueu el canvi de llicència abans de construir perfils i certificats al voltant d’una capacitat que la màquina no pot executar.

Anoteu l’edició, l’estat d’unió, la ubicació del certificat i el canal de subministrament a les notes de desplegament. Així el proper enginyer podrà confirmar l’elegibilitat en minuts en lloc de repetir la mateixa depuració del perfil en una màquina que mai no s’hauria connectat.