Abast del perfil VPN de Windows: usuari actual o tots els usuaris?
L’abast decideix on es desa un perfil VPN natiu de Windows i qui el pot veure. No converteix la connexió en un túnel de dispositiu ni comparteix credencials.
Executeu una ordre sobre un perfil VPN, no retorna cap error i la connexió que inicia l’usuari es comporta exactament com abans. No hi ha res trencat. Windows desa els perfils VPN natius en dos magatzems, i heu editat el que no està en joc. El mateix nom visible pot existir en tots dos, i per això un script sembla reeixir mentre la connexió de l’usuari ignora cada canvi que heu fet.
La solució no és un script millor; és nomenar l’abast abans de nomenar el perfil.
El símptoma i els dos magatzems
Windows desa els perfils VPN natius en una llibreta de telèfons per usuari i en una llibreta de màquina per a tots els usuaris. Get-VpnConnection llegeix el magatzem de l’usuari actual, i Get-VpnConnection -AllUserConnection llegeix el de la màquina.
Un perfil creat amb -AllUserConnection apareix per a cada compte de la màquina i necessita una sessió elevada per crear-lo o eliminar-lo. Un perfil creat sense això pertany al compte que va executar l’ordre, i un altre usuari que iniciï sessió no veu res de res. Tots dos poden portar el mateix nom, i cap no us avisa que l’altre existeix. Per això el símptoma sembla una fallada silenciosa en lloc d’un missatge d’error.
Què decideix realment l’abast
L’abast respon dues preguntes i es nega a respondre’n una tercera:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Les dues últimes files són les que la gent entén malament. Un perfil per a tots els usuaris és emmagatzematge d’abast de màquina, no una identitat de màquina, i no fa per si sol que la connexió estigui disponible abans que algú iniciï sessió. Un túnel de dispositiu Always On de Windows és una configuració separada amb els seus propis requisits de certificat i perfil. L’abast tracta de qui pot veure un perfil, no de què és la màquina.
La visibilitat no és autenticació
Un perfil per a tots els usuaris encara necessita un esquema d’identitat i credencials compatible. Fer el perfil visible per a cada compte no fa que cada compte sigui el mateix usuari autenticat, ni agrupa les credencials.
Si el disseny necessita el túnel aixecat abans de l’inici de sessió, la resposta és un túnel de dispositiu i no un abast de perfil més ampli. Si el disseny necessita que cada persona presenti el seu propi certificat, un perfil per usuari encaixa millor amb aquest model, perquè un perfil d’abast de màquina no pot presentar una credencial que pertany a una altra persona.
Desplegament i propietat de les polítiques
En màquines gestionades, un EMM o un perfil de configuració pot recrear l’estat desat després del vostre canvi.
No és un error del vostre script; són dos propietaris escrivint al mateix magatzem. Coordineu l’abast amb qui posseeix la política i preferiu canviar la política a tornar a executar l’ordre segons una programació. Una solució local que competeix amb la política produeix una màquina on el perfil sembla correcte fins a la propera sincronització.
Què cal registrar quan falla
Registreu tres coses juntes: el nom del perfil, l’abast que heu triat i l’error de connexió real.
Una ruta o un certificat aplicat a un perfil de l’altre magatzem no arreglarà el que inicia l’usuari, i el text de l’error continuarà assenyalant la connexió en lloc de la vostra edició. Després d’un canvi aprovat, reconnecteu-vos pel punt d’entrada previst i reviseu l’encaminament aplicat, així com la configuració desada. El magatzem de perfils respon què està disponible, mentre que la connexió activa respon què fa el dispositiu ara.
La documentació de Microsoft per a Add-VpnConnection llista l’interruptor d’abast al costat dels paràmetres que modifica, cosa que és un recordatori útil que l’abast és una decisió presa en crear el perfil, no un paràmetre que canvieu després.