Tunel zařízení na Windows Pro? Zkontrolujte matici edicí

Profil se dostane na notebook, stránka nastavení VPN jej zobrazí, a tunel zařízení se přesto na přihlašovací obrazovce nikdy nepřipojí. Na Windows Pro to často není chyba konfigurace. Nativní tunel zařízení se licencuje podle edice a uživatelský tunel, který funguje po přihlášení, dokazuje jinou schopnost. Přečtěte si požadavek, než začnete ladit certifikát.

Příznak se objeví dřív, než se kdokoli přihlásí

Uživatelský tunel se po přihlášení připojuje v kontextu uživatele, a proto na Pro běžně funguje. Tunel zařízení má navázat připojení počítače dřív, než se přihlásí kterýkoli uživatel, pomocí certifikátu počítače a IKEv2. Jde o různé fáze životního cyklu, nikoli o dva názvy téhož profilu.

V nezpůsobilé edici lze profil stále doručit a zobrazit v seznamu, ale připojení před přihlášením se neobjeví. Po přihlášení může uživatelský tunel fungovat bezchybně, takže nasazení vypadá zdravě při každé kontrole, kterou provede vlastník účtu. Selhání je z pohledu přihlášené relace neviditelné.

Zpřístupnění profilu všem uživatelům mění, kdo jej smí používat. Nemění kontext ověřování z uživatele na počítač, a proto nemůže přeměnit uživatelský tunel na tunel zařízení. Rozdíl je v kontextu ověřování, ne ve viditelnosti profilu.

Čtěte matici, ne jen uzel CSP

Matice funkcí Windows 11 od Microsoftu uvádí nativní tunel zařízení Always On VPN pro Enterprise a Education. Poskytovatel konfigurační služby VPNv2 samostatně dokumentuje uzel DeviceTunnel, jehož použitelnost zahrnuje Pro, a tento řádek se často cituje jako důkaz, že funkce funguje. Konfigurační rozhraní a licencování funkce odpovídají na různé otázky: jedno říká, že nastavení lze vyjádřit, druhé že edice má na danou schopnost nárok.

Ověřte skutečnou edici a sestavení místo spoléhání na záznam o nákupu. Spravovaná aktivace, probíhající upgrade nebo přestavěný obraz mohou ponechat počítač v jiné edici, než uvádí seznam aktiv:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Pokud výstup uvádí Pro, je nativní tunel zařízení mimo dokumentovanou sadu funkcí pro tento počítač. Tento závěr nevyžaduje změnu profilu a změnou profilu se ani neopraví. Poznamenejte tento nález, než změníte cokoli dalšího.

Čtyři předpoklady za příznakem funkce

Edice je branou a zbývající požadavky vysvětlují, proč počítač na způsobilé edici přesto selhává. Kontrolujte je popořadě, protože každý může dát stejný tichý výsledek. Přeskočení řádku promrhá úsilí věnované řádkům pod ním. Edice je první z nějakého důvodu.

Kontrolu certifikátu lidé přeskakují. Soukromý klíč musí být přítomen v úložišti počítače a před přihlášením použitelný systémovým kontextem, což je jiné úložiště než to, které uživatel vidí ve svém dialogu certifikátů:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Certifikát, který v uživatelském úložišti vypadá správně, může v úložišti počítače zcela chybět. Tunel zařízení pak selže při ověřování dřív, než se objeví přihlašovací obrazovka, a žádné opětovné importování profilu to nezmění. Kontrolujte úložiště, které používá služba, ne to, které vidí uživatel.

Naplánovaná úloha spuštěná jako SYSTEM není ta funkce

Koluje obchvat, který spouští profil VPN z naplánované úlohy běžící jako SYSTEM, takže se tunel objeví krátce po startu. Není to nativní tunel zařízení. Modul úloh startuje v jiném okamžiku, připojení je profil v uživatelském režimu spuštěný servisním účtem a životní cyklus neodpovídá tunelu ověřenému počítačem, který musí existovat na přihlašovací obrazovce.

Může projít zběžným testem, protože v době, kdy se někdo přihlásí a zkontroluje to, je tunel už aktivní. Tento úspěch měří zpoždění mezi startem a úlohou, nikoli připojení před přihlášením, a ponechává počítač bez tunelu po dobu, kterou měla funkce pokrývat.

Považujte obchvat za nepodporovaný pro produkci. Pokud na něm návrh závisí, požadavkem je pravděpodobně připojení před přihlášením, což diskusi vrací ke způsobilosti edice.

Vyberte požadavek dřív než technologii

Napište požadavek jednou větou: zařízení musí dosáhnout pojmenovaného prostředku dřív, než se přihlásí kterýkoli uživatel, nebo uživatel potřebuje přístup po přihlášení. Pokud platí druhá věta, uživatelský tunel Always On na Pro je podporovaný návrh a tunel zařízení je zbytečná složitost.

Pokud platí první věta, je edice tvrdou branou. Zvolte způsobilou edici nebo dokumentovanou architekturu před přihlášením, kterou organizace podporuje, a naplánujte změnu licence dřív, než postavíte profily a certifikáty kolem schopnosti, kterou počítač nedokáže spustit.

Do poznámek k nasazení zapište edici, stav připojení k doméně, umístění certifikátu a kanál zřizování. Další inženýr pak může způsobilost potvrdit během minut místo opakování stejného ladění profilu na počítači, který se nikdy neměl připojit.