Quin llibre de telèfons cerca una tasca SYSTEM per als perfils VPN?

El vostre perfil VPN és just allà a Configuració, i la tasca programada encara informa que no troba la connexió. No hi ha res malmès: el magatzem VPN natiu de Windows és per usuari tret que el perfil s’hagi creat com a perfil per a tots els usuaris, i una tasca s’executa amb el compte que el seu principal indica. Normalment la tasca llegeix un llibre de telèfons que mai no ha contingut el vostre perfil. Dues ordres i un paràmetre de la tasca són prou per demostrar-ho, i val la pena executar-les abans que algú reconstrueixi la connexió.

Dos magatzems porten el mateix nom de perfil

Un perfil VPN natiu de Windows viu al magatzem del compte que l’ha creat. El magatzem global és un altre llibre de telèfons, que només s’omple quan el perfil es crea amb l’interruptor per a tots els usuaris en una sessió elevada. Tots dos poden portar un perfil amb el mateix nom, i cap dels dos no és una vista de l’altre.

Llegiu tots dos magatzems des de la mateixa sessió i compareu els noms que retornen. L’interruptor selecciona el magatzem global, i llegir-lo normalment requereix una sessió elevada:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType

Si la primera ordre llista el perfil i la segona no, cap canvi de credencials no ajudarà una tasca que s’executa amb un altre compte, perquè el problema és la pertinença i no l’autenticació. Si totes dues el llisten, el magatzem no és la causa i s’aplica la secció següent. Aquesta única comparació tanca la meitat d’aquests tiquets. Anoteu quin magatzem ha respost i amb quin compte heu fet la comprovació, perquè la resposta no té sentit sense tots dos fets.

Llegiu el principal de la tasca abans que les credencials

Obriu la tasca i llegiu el principal, perquè us diu quin magatzem pot veure la tasca. Una tasca configurada per executar-se com a SYSTEM no és el vostre compte amb drets extra: té el seu propi perfil i cap accés al llibre de telèfons per usuari que vau crear mentre estàveu connectat. Un compte de servei es comporta exactament igual.

L’opció d’executar-se tant si esteu connectat com si no també ho canvia, perquè aleshores la tasca no té cap sessió interactiva de la qual pugui manllevar les credencials. Feu que l’acció escrigui whoami en un fitxer i llegiu la resposta en lloc de suposar-la.

El diagnòstic des del vostre terminal no diu res sobre aquest problema, perquè mostra què veu el vostre compte. Executeu la comparació sota la identitat de la tasca amb el procés aprovat que tingueu per a això. La sortida enganxada des d’una consola d’administrador és un altre conjunt de dades, no un de més privilegiat. Si no existeix cap procés així, la tasca ha de registrar ella mateixa la resposta, que és el que prepara la darrera secció.

Trobar el perfil no és iniciar sessió

Un perfil per a tots els usuaris fa la configuració visible més àmpliament. No porta la contrasenya desada del compte que l’ha creat, i no dona a un altre compte la clau privada emmagatzemada al vostre perfil d’usuari. Visibilitat i credencials utilitzables són dues proves separades, i passar la primera no diu res sobre la segona.

Si la tasca ara troba el perfil i falla a l’autenticació, això és un progrés i l’etapa pertany al registre. Moveu el certificat al magatzem de la màquina, o proporcioneu el secret pel mecanisme propi del desplegament, en lloc de recrear el nom de la connexió una altra vegada. Recrear-lo produeix la mateixa fallada amb una marca de temps més nova. Microsoft documenta els dos àmbits entre els quals tria l’interruptor del cmdlet.

Els reptes no interactius són el parany darrere d’aquesta etapa. Un avís de PIN o un codi d’un sol ús no poden ser respostos per una tasca sense escriptori, així que un perfil que es marca perfectament a mà pot ser inutilitzable sota automatització.

Quatre camps que necessita el registre de la tasca

Manteniu junts en un sol lloc els valors que decideixen el resultat, perquè tres d’ells normalment queden implícits. El registre necessita quatre línies:

• Camí de l’acció: l’script o l’executable que executa la tasca, no una drecera que es resol de manera diferent per a un altre compte.
• Nom del perfil: la cadena exacta, perquè dos magatzems poden portar el mateix nom apuntant a servidors diferents.
• Principal: el compte amb què s’executa la tasca, i si té una sessió interactiva.
• Mètode d’autenticació: què pot completar realment aquest principal, com ara un certificat del magatzem de la màquina en lloc d’una clau del vostre perfil d’usuari.

Aquestes quatre línies responen la pregunta que el tiquet fa de veritat, que és quina configuració ha utilitzat l’automatització. També sobreviuen a la propera reconstrucció de la tasca, quan l’autor original no hi és per explicar per què el nom importava. Sense elles, la mateixa fallada torna després del desplegament següent i costa una altra vegada les mateixes hores.

Localitzeu l’etapa a què ha arribat la tasca

Instrumenteu l’acció en lloc d’endevinar a partir del resultat de l’última execució. Un embolcall curt registra la identitat, el magatzem que pot veure i el resultat de la marcació en un sol lloc:

whoami
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
rasdial "Office"
schtasks /query /tn "VPN Connect" /v /fo LIST

L’ordre de marcació imprimeix el seu propi error, que normalment és més clar que una fallada genèrica de la tasca. La consulta retorna el principal i el darrer codi de resultat l’un al costat de l’altre, així que identitat i resultat són visibles en una sola vista. Aquests dos fets decideixen si el pas següent és un canvi de magatzem o un canvi de credencials.

Finalment, separeu una tasca que es connecta després que un usuari iniciï sessió d’un túnel de dispositiu o d’un flux de treball admès abans de l’inici de sessió. Compartir un sol perfil no és un disseny per a cap dels dos, i el camp principal és el que us diu quin dels tres heu construït. Si la connectivitat ha d’existir abans de l’inici de sessió, el magatzem de perfils per usuari és la capa equivocada a reparar.