Rozsah profilu VPN ve Windows: aktuální uživatel, nebo všichni uživatelé?
Rozsah určuje, kde se nativní profil VPN ve Windows ukládá a kdo ho může vidět. Nedělá z připojení tunel zařízení ani nesdílí přihlašovací údaje.
Spustíte příkaz nad profilem VPN, nevrátí chybu a připojení, které uživatel spustí, se chová přesně jako dřív. Nic není rozbité. Windows drží nativní profily VPN ve dvou úložištích a vy jste upravili to, které se nepoužívá. Stejný zobrazovaný název může existovat v obou, a proto se skript zdá úspěšný, zatímco uživatelské připojení ignoruje každou vaši změnu.
Řešením není lepší skript; řešením je pojmenovat rozsah dřív, než pojmenujete profil.
Příznak a dvě úložiště
Windows drží nativní profily VPN v telefonním seznamu pro každého uživatele a v seznamu na úrovni počítače pro všechny uživatele. Get-VpnConnection čte úložiště aktuálního uživatele a Get-VpnConnection -AllUserConnection čte to počítačové.
Profil vytvořený s -AllUserConnection se zobrazí pro každý účet na počítači a k vytvoření nebo odebrání vyžaduje relaci se zvýšenými oprávněními. Profil vytvořený bez něj patří účtu, který příkaz spustil, a jiný uživatel po přihlášení nevidí vůbec nic. Oba mohou nést stejný název a ani jeden vás neupozorní, že existuje ten druhý. Proto příznak vypadá jako tichá závada, a ne jako chybová zpráva.
Co rozsah skutečně určuje
Rozsah odpovídá na dvě otázky a odmítá odpovědět na třetí:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Právě poslední dva řádky lidé chápou špatně. Profil pro všechny uživatele je úložiště v rozsahu počítače, ne identita počítače, a sám o sobě nezpřístupní připojení dřív, než se někdo přihlásí. Tunel zařízení Always On ve Windows je samostatná konfigurace s vlastními požadavky na certifikát a profil. Rozsah je o tom, kdo profil vidí, ne o tom, čím počítač je.
Viditelnost není ověřování
Profil pro všechny uživatele stále potřebuje podporované uspořádání identity a přihlašovacích údajů. Zviditelnění profilu pro každý účet nedělá z každého účtu stejného ověřeného uživatele a neslučuje přihlašovací údaje.
Pokud návrh vyžaduje tunel nahoru ještě před přihlášením, odpovědí je tunel zařízení, ne širší rozsah profilu. Pokud návrh vyžaduje, aby každý člověk předložil vlastní certifikát, profil pro jednotlivého uživatele tomu modelu odpovídá lépe, protože profil v rozsahu počítače nemůže předložit údaj, který patří někomu jinému.
Nasazení a vlastnictví zásad
Na spravovaných počítačích může EMM nebo konfigurační profil po vaší změně obnovit uložený stav.
To není chyba ve vašem skriptu; jsou to dva vlastníci zapisující do stejného úložiště. Sladťte rozsah s tím, kdo vlastní zásadu, a dejte přednost změně zásady před opakovaným spouštěním příkazu podle plánu. Místní oprava, která soupeří se zásadou, vytváří počítač, kde profil vypadá správně až do další synchronizace.
Co zaznamenat, když se to rozbije
Zaznamenejte tři věci společně: název profilu, rozsah, na který jste cílili, a skutečnou chybu připojení.
Trasa nebo certifikát použitý na profil v druhém úložišti neopraví ten, který uživatel spouští, a text chyby bude dál ukazovat na připojení, ne na vaši úpravu. Po schválené změně se znovu připojte přes zamýšlený vstupní bod a zkontrolujte použité směrování i uložená nastavení. Úložiště profilů odpovídá, co je dostupné, zatímco aktivní připojení odpovídá, co zařízení dělá právě teď.
Dokumentace Microsoftu k Add-VpnConnection uvádí přepínač rozsahu vedle parametrů, které mění, což je užitečná připomínka, že rozsah je rozhodnutí učiněné při vytvoření, ne nastavení, které přepnete později.