Enhedstunnel på Windows Pro? Tjek udgave-matricen
En udrullet profil er ikke bevis på berettigelse. Sammenlign udgave-matricen, CSP-noden og forudsætningerne før login, før du fejlfinder tunnelen.
Profilen lander på bærbaren, VPN-indstillingssiden viser den, og enhedstunnelen opretter alligevel aldrig forbindelse på loginskærmen. På Windows Pro er det ofte ikke en konfigurationsfejl. Den oprindelige enhedstunnel licenseres efter udgave, og en brugertunnel, der virker efter login, beviser en anden funktion. Læs kravet, før du fejlfinder certifikatet.
Symptomet viser sig, før nogen logger ind
En brugertunnel opretter forbindelse i brugerens kontekst efter login, og derfor virker den normalt på Pro. En enhedstunnel skal etablere maskinforbindelse, før nogen bruger logger ind, ved hjælp af et maskincertifikat og IKEv2. Det er forskellige faser af livscyklussen, ikke to navne for den samme profil.
På en ikke-kvalificeret udgave kan profilen stadig leveres og vises på listen, men forbindelsen før login vises ikke. Efter login kan brugertunnelen fungere perfekt, hvilket får udrulningen til at se sund ud i enhver kontrol, som personen, der ejer kontoen, udfører. Fejlen er usynlig indefra en session, hvor nogen allerede er logget ind.
At gøre en profil tilgængelig for alle brugere ændrer, hvem der må bruge den. Det ændrer ikke godkendelseskonteksten fra bruger til maskine, så det kan ikke gøre en brugertunnel til en enhedstunnel. Forskellen er godkendelseskontekst, ikke synligheden af profilen.
Læs matricen, ikke bare CSP-noden
Microsofts funktionsmatrix for Windows 11 opregner den oprindelige Always On VPN-enhedstunnel til Enterprise og Education. Konfigurationstjenesteudbyderen VPNv2 dokumenterer separat en DeviceTunnel-node, hvis anvendelighed omfatter Pro, og den linje citeres ofte som bevis for, at funktionen virker. Konfigurationsflade og funktionslicensering besvarer forskellige spørgsmål: det ene siger, at en indstilling kan udtrykkes, det andet siger, at udgaven har ret til funktionen.
Bekræft den effektive udgave og build i stedet for at stole på købsregistreringen. Administreret aktivering, en igangværende opgradering eller et genopbygget image kan alle efterlade en maskine på en anden udgave, end aktivlisten siger:
winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumberHvis outputtet siger Pro, er den oprindelige enhedstunnel uden for det dokumenterede funktionssæt for den maskine. Den konklusion kræver ingen profilændring og bliver ikke rettet af en. Notér den konstatering, før du ændrer noget andet.
Fire forudsætninger bag funktionsflaget
Udgaven er porten, og de øvrige krav forklarer, hvorfor en maskine på en kvalificeret udgave stadig fejler. Kontroller dem i rækkefølge, fordi hver af dem kan give det samme stille resultat. At springe en række over spilder indsatsen på rækkerne nedenunder. Udgaven kommer først af en grund.
| Prerequisite | How to verify | Common failure |
|---|---|---|
| Edition and build | DISM /online /get-currentedition | Pro image with an Enterprise asset record |
| Join state | Domain membership in system information | Microsoft Entra join treated as domain join |
| Machine certificate | Certificate store in the local machine context | Certificate issued to the user store |
| Profile context | Provisioned through the machine channel | Delivered as a user tunnel profile |
Certifikatkontrollen er den, folk springer over. Den private nøgle skal findes i maskinlageret og kunne bruges af systemkonteksten før login, hvilket er et andet lager end det, en bruger ser i sin egen certifikatdialog:
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfterEt certifikat, der ser korrekt ud i brugerens lager, kan mangle helt i maskinlageret. Enhedstunnelen fejler så godkendelsen, før loginskærmen vises, og ingen genimport af profilen ændrer det. Kontroller det lager, tjenesten bruger, ikke det, brugeren ser.
En planlagt opgave som SYSTEM er ikke funktionen
Der cirkulerer en omvej, som starter en VPN-profil fra en planlagt opgave, der kører som SYSTEM, så en tunnel vises kort efter opstart. Det er ikke den oprindelige enhedstunnel. Opgavemotoren starter på et andet tidspunkt, forbindelsen er en profil i brugertilstand startet af en tjenestekonto, og livscyklussen svarer ikke til en maskinautentificeret tunnel, som skal findes på loginskærmen.
Den kan bestå en overfladisk test, fordi tunnelen er oppe, når nogen logger ind og kontrollerer. Den succes måler forsinkelsen mellem opstart og opgaven, ikke forbindelsen før login, og den efterlader maskinen uden tunnel i det vindue, funktionen skulle have dækket.
Behandl omvejen som uunderstøttet til produktion. Hvis et design afhænger af den, er kravet sandsynligvis en forbindelse før login, hvilket bringer diskussionen tilbage til udgavens berettigelse.
Vælg kravet før teknologien
Skriv kravet som én sætning: enheden skal nå en navngivet ressource, før nogen bruger logger ind, eller brugeren har brug for adgang efter login. Hvis den anden sætning er sand, er en Always On-brugertunnel på Pro et understøttet design, og enhedstunnelen er unødig kompleksitet.
Hvis den første sætning er sand, er udgaven en hård port. Vælg en kvalificeret udgave eller en dokumenteret arkitektur før login, som organisationen understøtter, og planlæg licensændringen, før du bygger profiler og certifikater omkring en funktion, som maskinen ikke kan køre.
Notér udgave, domænemedlemskab, certifikatplacering og klargøringskanal i udrulningsnotaterne. Den næste ingeniør kan så bekræfte berettigelsen på minutter i stedet for at gentage den samme profilfejlfindingsproces på en maskine, der aldrig ville have oprettet forbindelse.